Ge funktionen en avgränsad roll

Du är backend-utvecklare i rapportteamet, och en kollega är på väg att lansera en Lambda-funktion som heter report-generator. Den läser ett objekt från rapportbucketen varje morgon och skriver sina egna loggrader, men har ännu ingen egen identitet. Nästan inget du bygger körs som du personligen, så innan funktionen kan anropa AWS behöver den en körningsroll.

Om AmazonS3ReadOnlyAccess är kopplad till rollen, och report-generator komprometterades i morgon, vad är det mesta funktionen skulle kunna nå?