Een serverless applicatie gebruikt Amazon API Gateway, AWS Lambda en Amazon DynamoDB. De Lambda-functie heeft permissies nodig om te lezen en schrijven naar de DynamoDB-tabel. Welke oplossing geeft de Lambda-functie op de MEEST veilige manier toegang tot de DynamoDB-tabel?

De meest veilige manier om een Lambda-functie toegang te geven tot DynamoDB is door een IAM-rol te gebruiken. Deze rol, met Lambda als vertrouwde service, krijgt een beleid dat lees- en schrijftoegang tot de DynamoDB-tabel toestaat. Door deze rol als de execution role voor de Lambda-functie in te stellen, krijgt de functie tijdelijke, specifieke permissies zonder dat er hardcoded credentials nodig zijn. De andere opties zijn minder veilig: Het opslaan van access keys in Lambda omgevingsvariabelen is onveilig, omdat deze gevoelige informatie kan lekken. Het ophalen van credentials uit Parameter Store is beter dan omgevingsvariabelen, maar het gebruik van een IAM-rol is nog steeds veiliger omdat er geen langdurige credentials worden beheerd. Een IAM-rol met DynamoDB als vertrouwde service is incorrect; de rol moet Lambda vertrouwen om namens de functie te kunnen opereren.