Zewnętrzny audyt bezpieczeństwa wykazał, że wiele ról wykonawczych AWS Lambda w aplikacji serverless ma zbyt szerokie zasady IAM (na przykład pełny dostęp do S3 i DynamoDB). Firma chce, aby każda funkcja miała tylko minimalne wymagane uprawnienia. Architekt rozwiązań musi określić dokładne uprawnienia wymagane przez każdą funkcję Lambda przy najmniejszym wysiłku. Co powinien zrobić architekt?

Poprawna odpowiedź to włączenie AWS CloudTrail i użycie IAM Access Analyzer. CloudTrail rejestruje wszystkie wywołania API wykonane na koncie AWS, a IAM Access Analyzer może analizować te logi, aby automatycznie generować zasady IAM z minimalnymi uprawnieniami, bazując na faktycznym użyciu. To podejście minimalizuje wysiłek, ponieważ automatyzuje proces identyfikacji wymaganych uprawnień. Pozostałe opcje są mniej efektywne: Użycie Amazon CodeGuru do profilowania funkcji Lambda jest przydatne do optymalizacji wydajności i bezpieczeństwa kodu, ale nie jest podstawowym narzędziem do generowania zasad IAM na podstawie faktycznych wywołań API. Ręczne pisanie skryptu do analizy logów CloudTrail jest czasochłonne i podatne na błędy. Eksportowanie logów CloudTrail do S3 i używanie Amazon EMR do ich przetwarzania to zbyt złożone i kosztowne rozwiązanie dla tego konkretnego zadania, zwłaszcza gdy dostępne są bardziej zautomatyzowane narzędzia.