Разработчик использует S3 Event Notifications для вызова функций Lambda для обработки изображений. В том же аккаунте AWS есть бакет S3 и Lambda для разработки, а также бакет S3 и Lambda для продакшена. Загрузки в бакет для разработки ошибочно вызывают продакшен Lambda. Разработчик должен предотвратить влияние загрузок из разработки на продакшен с минимальными нарушениями. Что должен сделать разработчик?

Правильный ответ — это перемещение разработки и продакшена в отдельные аккаунты AWS и добавление политик на основе ресурсов к функциям Lambda. Разделение сред на разные аккаунты AWS является лучшей практикой для изоляции ресурсов и предотвращения случайного взаимодействия, что обеспечивает максимальную безопасность и минимизирует риски. Политики на основе ресурсов для функций Lambda позволяют явно указать, какие S3-бакеты могут вызывать эти функции, дополнительно усиливая изоляцию. Изменение роли выполнения продакшен Lambda не решит проблему вызова, а лишь ограничит действия Lambda после вызова. Обновление политик S3-бакетов для вызова соответствующих Lambda не предотвратит ошибочные вызовы, если конфигурация S3 Event Notifications настроена некорректно или дублируется. Перемещение в отдельные аккаунты без политик на основе ресурсов для Lambda не гарантирует, что Lambda не будет вызвана из другого аккаунта, если разрешения настроены широко.