После развертывания в production, события S3 в средах разработки начали вызывать production Lambda-функции, что привело к нежелательным выполнениям. Команда должна остановить межсредовые вызовы и следовать лучшим практикам безопасности. Какое решение соответствует этим требованиям?

Правильный ответ — разделение сред разработки и production на отдельные аккаунты AWS и использование политик ресурсов Lambda. Разделение аккаунтов является лучшей практикой безопасности, предотвращая случайные межсредовые взаимодействия и обеспечивая изоляцию ресурсов. Политика ресурсов Lambda позволяет явно указать, какие S3-бакеты (в данном случае, только бакеты в том же аккаунте) могут вызывать функцию, что обеспечивает гранулярный контроль доступа и предотвращает нежелательные вызовы. Обновление роли выполнения production Lambda для разрешения чтения только из production S3-бакета не решает проблему вызова Lambda-функции из другого аккаунта/среды. Добавление политики ресурсов к production Lambda, разрешающей вызов только из production S3-бакета, эффективно, но не является лучшей практикой безопасности, поскольку не обеспечивает изоляцию аккаунтов. Обновление роли выполнения каждой Lambda для разрешения чтения только из S3-бакета в том же аккаунте не предотвращает вызов функции из другого аккаунта, так как проблема в триггере, а не в разрешениях на чтение.