Deweloper używa powiadomień o zdarzeniach S3 (S3 Event Notifications) do wywoływania funkcji Lambda w celu przetwarzania obrazów. Na tym samym koncie AWS znajduje się deweloperski zasobnik S3 (S3 bucket) i Lambda, a także produkcyjny zasobnik S3 i Lambda. Przesyłanie plików do zasobnika deweloperskiego nieprawidłowo wywołuje produkcyjną funkcję Lambda. Deweloper musi zapobiec wpływaniu przesyłania plików deweloperskich na produkcję przy minimalnych zakłóceniach. Co powinien zrobić deweloper?

Przeniesienie środowisk deweloperskich i produkcyjnych do oddzielnych kont AWS to najlepsza praktyka bezpieczeństwa i izolacji. Zapobiega to przypadkowym interakcjom między środowiskami. Dodanie polityk opartych na zasobach (resource-based policies) do funkcji Lambda gwarantuje, że mogą być one wywoływane wyłącznie przez zasobniki S3 z tego samego konta, co zapewnia precyzyjną kontrolę nad uprawnieniami wywołania. Modyfikacja roli wykonawczej produkcyjnej funkcji Lambda nie rozwiąże problemu nieprawidłowego wywołania. Polityki zasobników S3 kontrolują uprawnienia dostępu do zasobnika, a nie wywoływanie funkcji Lambda przez inne zasobniki. Pozostawienie środowisk na tym samym koncie AWS, nawet z politykami zasobników, zwiększa ryzyko błędnej konfiguracji i przypadkowych interakcji.