Cấp cho hàm một role thật hẹp

Bạn là backend developer trong đội reports, và một đồng đội sắp triển khai một hàm Lambda tên là report-generator. Mỗi sáng, hàm này đọc một object từ bucket reports và ghi log của chính nó; hiện nó chưa có danh tính riêng. Hầu như không có gì bạn xây dựng chạy dưới danh tính cá nhân của bạn, nên trước khi hàm đó có thể gọi AWS, nó cần một execution role.

Khi gắn AmazonS3ReadOnlyAccess, nếu ngày mai report-generator bị xâm nhập, phạm vi tối đa nó có thể chạm tới là gì?