Dai alla funzione un ruolo ristretto

Sei uno sviluppatore backend del team report, e una tua collega sta per pubblicare una funzione Lambda chiamata report-generator. Ogni mattina legge un oggetto dal bucket dei report e scrive le proprie righe di log, e al momento non ha ancora un'identità. Quasi nulla di ciò che costruisci viene eseguito con la tua identità personale, quindi prima che quella funzione possa chiamare AWS ha bisogno di un execution role.

Con AmazonS3ReadOnlyAccess collegata, se domani report-generator venisse compromessa, qual è il massimo a cui potrebbe accedere?