Donner à la fonction un rôle strict

Vous êtes développeur back-end dans l'équipe Reports, et un·e collègue est sur le point de livrer une fonction Lambda appelée report-generator. Elle lit chaque matin un objet du compartiment des rapports et écrit ses propres lignes de journal, et elle n'a pas encore d'identité propre. Presque rien de ce que vous déployez ne s'exécute avec vos droits personnels ; avant que cette fonction puisse appeler AWS, elle a donc besoin d'un rôle d'exécution.

Avec AmazonS3ReadOnlyAccess attachée, si report-generator était compromis demain, jusqu'où pourrait-elle aller au maximum ?