Bir şirketin günlük güvenlik raporunu otomatikleştirmesi gerekiyor. us-west-2 bölgesindeki bir AWS Lambda işlevi, AWS Security Hub'a alınan Amazon Inspector bulgularını okur ve Amazon EventBridge tarafından bir zamanlamaya göre tetiklenir. İşlev, raporu oluşturmada başarısız oluyor. En az ayrıcalıklı bir düzeltme sağlayın. Hangi çözüm bu gereksinimleri karşılar?

Lambda işlevi, AWS Security Hub'dan Amazon Inspector bulgularını okumak için tasarlanmıştır. Bu nedenle, işlevin Security Hub'a ve bulguların kaynağı olan Inspector'a salt okunur erişime ihtiyacı vardır. Lambda yürütme rolüne bu iki hizmet için salt okunur izinler eklemek, işlevin raporu oluşturmak için gerekli verilere erişmesini sağlar ve en az ayrıcalık ilkesine uygun olarak yalnızca gerekli izinleri verir. Diğer seçenekler neden yanlış: Lambda işlevinin ARN'sine kaynak tabanlı bir ilke eklemek, işlevin Security Hub'a erişmesine izin verebilir ancak bu, Lambda yürütme rolünün kendisi için gerekli izinleri sağlamaz. AWSSecurityHubReadOnlyAccess yönetilen politikası yalnızca Security Hub erişimi sağlar, Inspector bulgularına erişim için yeterli değildir. Security Hub Get, List, Batch ve Describe eylemlerini belirli bir kaynak üzerinde veren özel bir IAM politikası, Inspector bulgularına doğrudan erişim sağlamaz ve genel olarak Inspector'a salt okunur erişimden daha kısıtlı olabilir.