Надайте функції вузьку роль

Ви беко‑розробник у команді звітів, і ваш колега збирається розгорнути функцію Lambda під назвою report-generator. Вона щоранку зчитує один об'єкт із бакета з звітами та записує власні рядки журналу, і наразі не має власної ідентичності. Майже нічого з того, що ви створюєте, не працює від вашого імені, тож перш ніж ця функція зможе звертатися до AWS, їй потрібна роль виконання.

Якщо прикріпити AmazonS3ReadOnlyAccess, і завтра report-generator скомпрометують, до чого максимально він зможе дістатися?