Lambda 函式的程式碼儲存在 S3 儲存貯體中，並且必須部署到同一區域中的多個 AWS 帳戶。每個帳戶中都會執行一個 CloudFormation 範本來部署該函式。允許 CloudFormation 從 S3 儲存貯體擷取 Lambda 程式碼的「最安全」方式是什麼？

正確答案是最安全的方式。CloudFormation 服務角色需要 s3:ListBucket 和 s3:GetObject 權限才能從 S3 儲存貯體讀取 Lambda 程式碼。同時，在 S3 儲存貯體政策中明確指定允許存取儲存貯體的 AWS 帳號作為主體，可以確保只有這些帳號能夠存取程式碼，這提供了精細的存取控制，符合最小權限原則。 其他選項不夠安全或不正確： 授予 s3:GetObject 權限並允許來自主體 的存取會讓儲存貯體公開，這是一個嚴重的安全風險。 Lambda 函式本身不需要服務連結權限來從 S3 獲取程式碼；是 CloudFormation 服務角色需要這些權限來部署函式。 將資源設定為 允許存取整個儲存貯體，這不是最小權限原則的最佳實踐。