Nadaj funkcji wąską rolę

Pracujesz jako backendowy deweloper w zespole raportowym, a twój kolega z zespołu szykuje się do wdrożenia funkcji Lambda o nazwie report-generator. Codziennie rano odczytuje ona jeden obiekt z bucketa z raportami i zapisuje własne logi, ale na razie nie ma własnej tożsamości. Prawie nic, co budujesz, nie działa jako ty osobiście, więc zanim ta funkcja będzie mogła wywoływać AWS, potrzebuje roli wykonawczej (execution role).

Jeśli do funkcji podepniesz politykę AmazonS3ReadOnlyAccess, a report-generator zostanie jutro przejęta, do czego maksymalnie będzie miała dostęp?