一項外部安全稽核發現，無伺服器應用程式中的許多 AWS Lambda 執行角色具有過於寬鬆的 IAM 政策（例如，完整的 S3 和 DynamoDB 存取權限）。公司希望每個函式只擁有所需的最低權限。解決方案架構師必須以最少的工作量，確定每個 Lambda 函式所需的確切權限。架構師應該怎麼做？

正確答案是啟用 AWS CloudTrail 並使用 IAM Access Analyzer。CloudTrail 記錄帳戶中的所有 API 活動，提供 Lambda 函式實際執行的操作。IAM Access Analyzer 的政策產生功能可以直接從這些 CloudTrail 日誌中分析活動，並自動建議符合最小權限原則的 IAM 政策。這大大減少了手動分析日誌和撰寫政策所需的工作量，是解決此問題最有效率的方法。 其他選項雖然也涉及 CloudTrail，但都需要手動編寫腳本或使用額外的服務（如 Amazon EMR 或 CodeGuru）來分析日誌，這增加了複雜性和工作量，不如 IAM Access Analyzer 的自動化功能高效。CodeGuru 主要用於程式碼分析，而非直接從執行日誌中生成 IAM 政策。