Choisir la bonne stratégie d'identifiants

Vous déployez une fonction Lambda qui doit lire des messages depuis une file d'attente Amazon SQS et écrire des éléments dans une table DynamoDB. Un·e collègue propose de créer un utilisateur IAM, de générer des clés d'accès de longue durée et de stocker ces clés dans les variables d'environnement de la fonction pour qu'elle puisse s'authentifier auprès d'AWS. Vous voulez l'approche la plus sécurisée, conforme aux bonnes pratiques AWS.

Comment la fonction Lambda doit-elle obtenir ses identifiants AWS ?