Назначьте функции узкую роль

Вы работаете backend-разработчиком в команде отчётов, и коллега вот-вот выпустит функцию Lambda под названием report-generator. Каждое утро она читает один объект из bucket с отчётами и записывает собственные строки лога, но у неё пока нет собственной идентичности. Почти ничего из того, что вы создаёте, не выполняется от вашего личного имени, поэтому, прежде чем функция сможет обращаться к AWS, ей нужна роль выполнения (execution role).

Если к функции report-generator подключена политика AmazonS3ReadOnlyAccess, и эту функцию скомпрометируют завтра, до чего максимум она сможет дотянуться?