Приложение использует несколько функций AWS Lambda для получения конфиденциальных данных из одного бакета Amazon S3. Компания должна гарантировать, что только авторизованные функции Lambda могут получить доступ к данным, следуя принципу наименьших привилегий. Какое решение соответствует этим требованиям?

Правильный ответ — создание индивидуальной роли IAM для каждой функции Lambda. Это соответствует принципу наименьших привилегий, поскольку каждая функция получает только те разрешения, которые ей необходимы для доступа к конкретным данным S3, а не избыточные права. Назначение соответствующей роли IAM в качестве роли выполнения Lambda гарантирует, что функция будет использовать эти ограниченные разрешения. Предоставление полного доступа всем функциям Lambda через общую роль IAM нарушает принцип наименьших привилегий, так как любая функция сможет получить доступ ко всем данным. Настройка функций Lambda для запуска внутри VPC с политикой бакета на основе IP-адресов конечных точек VPC усложняет управление и может быть неэффективной, поскольку IP-адреса могут меняться, а также это не является основным методом авторизации функций Lambda. Настройка политики бакета, которая предоставляет доступ функциям Lambda на основе их ARN функций, возможна, но менее гибкая и масштабируемая, чем использование индивидуальных ролей IAM, особенно при большом количестве функций.