Chọn chiến lược thông tin xác thực phù hợp

Bạn đang triển khai một Lambda function cần đọc thông điệp từ hàng đợi Amazon SQS và ghi item vào bảng DynamoDB. Một đồng đội gợi ý tạo một IAM user, sinh access key sống lâu và lưu các key đó trong biến môi trường của hàm để nó có thể xác thực với AWS. Bạn muốn cách làm an toàn nhất và tuân theo thực hành tốt nhất của AWS.

Lambda function nên lấy AWS credentials của mình như thế nào?