Een ontwikkelaar heeft een applicatie die een AWS Lambda-functie gebruikt om bestanden te uploaden naar Amazon S3 en heeft machtigingen nodig om de uploads uit te voeren. De ontwikkelaar heeft al een IAM-gebruiker met geldige IAM-referenties voor Amazon S3. Wat moet een solutions architect doen om de vereiste machtigingen te verlenen?

De juiste oplossing is het maken van een IAM-uitvoeringsrol met de benodigde machtigingen en deze rol aan de Lambda-functie te koppelen. AWS Lambda-functies nemen hun machtigingen over van de IAM-uitvoeringsrol die eraan is toegewezen. Deze rol definieert welke AWS-services en -bronnen de functie mag benaderen, zoals het uploaden van bestanden naar S3. Het toevoegen van machtigingen aan het resourcebeleid van de Lambda-functie is onjuist, omdat dit beleid bepaalt wie de functie mag aanroepen, niet welke machtigingen de functie zelf heeft. Het maken van een ondertekend verzoek of een nieuwe IAM-gebruiker en het gebruik van bestaande IAM-referenties in de Lambda-functie is een minder veilige en minder schaalbare aanpak, omdat het beheren van referenties binnen de code of het gebruik van statische referenties risico's met zich meebrengt. IAM-rollen zijn de aanbevolen methode voor het verlenen van machtigingen aan AWS-services.