Choisir la bonne stratégie d'authentification

Vous déployez une fonction Lambda qui doit lire des messages dans une file d'attente Amazon SQS et écrire des éléments dans une table DynamoDB. Un collègue propose de créer un utilisateur IAM, de générer des clés d'accès à longue durée et de stocker ces clés dans les variables d'environnement de la fonction pour qu'elle puisse s'authentifier auprès d'AWS. Vous cherchez l'approche la plus sécuritaire qui suit les pratiques exemplaires d'AWS.

Comment la fonction Lambda devrait-elle obtenir ses justificatifs AWS?