Een ontwikkelaar gebruikt S3 Event Notifications om Lambda-functies aan te roepen voor beeldverwerking. In hetzelfde AWS-account zijn er een development S3-bucket en Lambda, en een production S3-bucket en Lambda. Uploads naar de development-bucket roepen onterecht de production Lambda aan. De ontwikkelaar moet voorkomen dat development-uploads de productie beïnvloeden met de minste verstoring. Wat moet de ontwikkelaar doen?

De correcte oplossing is om development en productie naar afzonderlijke AWS-accounts te verplaatsen en resource-based beleid toe te voegen aan de Lambda-functies. Dit zorgt voor de meest robuuste isolatie en voorkomt kruisbesmetting, wat een best practice is voor het scheiden van omgevingen. Resource-based beleid op de Lambda-functie specificeert exact welke S3-bucket de functie mag aanroepen, wat de controle maximaliseert. Het aanpassen van de uitvoeringsrol van de production Lambda (optie 1) lost het probleem niet op, omdat de S3 Event Notification nog steeds de Lambda kan aanroepen, ongeacht de leesrechten van de Lambda op de S3-bucket. Het toevoegen van S3-bucketbeleid (optie 2) is onvoldoende, omdat S3 Event Notifications in hetzelfde account standaard de Lambda kunnen aanroepen, tenzij de Lambda zelf beperkingen heeft. Hoewel het verplaatsen naar afzonderlijke accounts (optie 3) isolatie biedt, is het bijwerken van de Lambda-uitvoeringsrol voor leestoegang niet de primaire methode om aanroepen te beperken; resource-based beleid op de Lambda is effectiever voor het controleren van aanroepbronnen.