Aplikacja używa wielu funkcji AWS Lambda do pobierania poufnych danych z pojedynczego zasobnika Amazon S3. Firma musi zapewnić, że tylko autoryzowane funkcje Lambda mogą uzyskać dostęp do danych, zgodnie z zasadą najmniejszych uprawnień. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to utworzenie indywidualnej roli IAM dla każdej funkcji Lambda. Pozwala to na precyzyjne zastosowanie zasady najmniejszych uprawnień, ponieważ każda funkcja otrzymuje tylko niezbędne uprawnienia do zasobnika S3. Przypisanie odpowiedniej roli IAM jako roli wykonawczej Lambda zapewnia, że funkcja działa z tymi konkretnymi uprawnieniami. Przyznanie pełnego dostępu wszystkim funkcjom Lambda za pomocą współdzielonej roli IAM narusza zasadę najmniejszych uprawnień, ponieważ każda funkcja miałaby dostęp do wszystkich danych, nawet jeśli nie jest to konieczne. Konfiguracja funkcji Lambda w VPC i użycie polityki zasobnika opartej na adresach IP punktów końcowych VPC jest skomplikowana i mniej elastyczna niż zarządzanie uprawnieniami za pomocą ról IAM. Konfiguracja polityki zasobnika, która przyznaje dostęp na podstawie ARN funkcji, jest możliwa, ale zarządzanie wieloma ARN w polityce zasobnika może być mniej skalowalne i trudniejsze w utrzymaniu niż zarządzanie rolami IAM, zwłaszcza w przypadku dużej liczby funkcji.