Dê à função uma função de execução bem restrita

Você é desenvolvedor(a) backend na equipe de relatórios, e uma pessoa do time está prestes a lançar uma função Lambda chamada report-generator. Ela lê um objeto do bucket de relatórios todas as manhãs e escreve suas próprias linhas de log, e ainda não tem identidade própria. Quase nada do que você constrói roda com as suas permissões pessoais, então, antes que essa função possa chamar a AWS, ela precisa de uma função de execução.

Com AmazonS3ReadOnlyAccess anexada, se report-generator fosse comprometida amanhã, qual seria o máximo que ela conseguiria alcançar?