Firma wdraża obciążenie bezserwerowe. Architekt rozwiązań musi przestrzegać zasady najmniejszych uprawnień podczas konfigurowania uprawnień dla funkcji AWS Lambda. Reguła Amazon EventBridge (Amazon CloudWatch Events) wywoła tę funkcję. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to dodanie polityki opartej na zasobach (resource-based policy) do funkcji Lambda. Ta polityka powinna zezwalać usłudze EventBridge na wywoływanie funkcji. Akcja lambda:InvokeFunction jest minimalnym uprawnieniem wymaganym do wywołania funkcji, a Service: events.amazonaws.com jako podmiot (principal) zapewnia, że tylko usługa EventBridge może to zrobić, co jest zgodne z zasadą najmniejszych uprawnień. Pozostałe opcje są nieprawidłowe: Dodanie roli wykonawczej (execution role) z lambda:InvokeFunction i jako podmiotem nie jest polityką opartą na zasobach i nie ogranicza wywołującego do EventBridge. Dodanie roli wykonawczej z lambda:InvokeFunction i Service: lambda.amazonaws.com jako podmiotem jest nieprawidłowe, ponieważ rola wykonawcza definiuje uprawnienia funkcji, a nie to, kto może ją wywołać. Dodanie polityki opartej na zasobach z lambda: jako akcją narusza zasadę najmniejszych uprawnień, ponieważ daje zbyt szerokie uprawnienia.