Kod funkcji Lambda jest przechowywany w zasobniku S3 i musi zostać wdrożony na wielu kontach AWS w tym samym regionie. Szablon CloudFormation zostanie uruchomiony na każdym koncie w celu wdrożenia funkcji. Jaki jest NAJBEZPIECZNIEJSZY sposób, aby CloudFormation pobrał kod Lambda z zasobnika S3?

Najbezpieczniejszym sposobem jest nadanie roli usługi CloudFormation uprawnień S3 ListBucket i GetObject, a następnie użycie polityki zasobnika S3, która precyzyjnie określa dozwolone numery kont AWS jako podmioty. To zapewnia zasadę najmniejszych uprawnień, ograniczając dostęp tylko do kont, które mają wdrażać funkcję. Opcja z podmiotem „” jest niebezpieczna, ponieważ pozwala na dostęp z dowolnego konta AWS. Opcje z uprawnieniami powiązanymi z usługą dla funkcji Lambda są nieprawidłowe, ponieważ to CloudFormation, a nie Lambda, pobiera kod z S3 podczas wdrażania.