Een Lambda-functie heeft toegang nodig tot een kleine set zeer gevoelige objecten in een S3-bucket. Het bedrijf volgt het principe van least privilege en staat alleen tijdelijke credentials toe. Wat is de MEEST veilige manier om de Lambda-functie toegang te verlenen tot die S3-objecten?

Het aanmaken van een Lambda execution role met een IAM policy die toegang verleent tot specifieke S3-objecten is de meest veilige methode. Dit volgt het principe van least privilege door alleen de benodigde permissies te verlenen en maakt gebruik van tijdelijke credentials die automatisch door AWS worden beheerd. Hardcoding van credentials is zeer onveilig en schendt het least privilege-principe. Het opslaan van access keys in Secrets Manager en deze laten ophalen door de functie is een verbetering, maar vereist nog steeds het beheer van permanente credentials en de extra complexiteit van Secrets Manager. Het opslaan van access keys als Lambda environment variables is onveilig omdat ze in platte tekst kunnen worden gelezen en permanente credentials zijn.