Szablon CloudFormation został użyty do utworzenia reguły EventBridge, która jest ukierunkowana na funkcję AWS Lambda. Funkcja Lambda ma za zadanie logować szczegóły zdarzeń do CloudWatch Logs i ma uprawnienia do zapisywania logów. Jednakże funkcja Lambda nie jest wywoływana przez regułę. Jaka zmiana w stosie CloudFormation naprawi ten problem?

Poprawna odpowiedź to dodanie zasobu AWS::Lambda::Permission, który nadaje events.amazonaws.com uprawnienia do wywołania funkcji Lambda. Aby usługa EventBridge mogła wywołać funkcję Lambda, funkcja Lambda musi mieć odpowiednie uprawnienia, które zezwalają usłudze EventBridge na jej wywołanie. Odbywa się to poprzez dodanie polityki opartej na zasobach (resource-based policy) do funkcji Lambda, która określa events.amazonaws.com jako podmiot (principal) i akcję lambda:InvokeFunction. Pozostałe opcje są nieprawidłowe: Dodanie roli IAM z uprawnieniami dla EventBridge do wywołania funkcji i dołączenie jej do reguły EventBridge jest niepotrzebne. EventBridge nie potrzebuje roli IAM do wywoływania funkcji Lambda, ale funkcja Lambda potrzebuje uprawnień, aby zezwolić EventBridge na jej wywołanie. Dodanie roli IAM, która nadaje funkcji Lambda uprawnienia do wykonania, jest wymagane, aby funkcja Lambda mogła wykonywać swoje zadania (np. zapisywać logi do CloudWatch), ale nie rozwiązuje problemu wywołania funkcji przez EventBridge. Dodanie zasobu AWS::Lambda::Permission, który nadaje lambda.amazonaws.com uprawnienia do wywołania funkcji Lambda, jest nieprawidłowe, ponieważ lambda.amazonaws.com nie jest podmiotem wywołującym funkcję w tym scenariuszu.