选择正确的凭证策略

您正在部署一个 Lambda 函数，需要从 Amazon SQS 队列读取消息，并向 DynamoDB 表写入项目。一位同事建议创建一个 IAM 用户，生成长期有效的访问密钥，并将这些密钥存放在函数的环境变量中，以便它能在 AWS 上进行身份验证。您希望采用符合 AWS 最佳实践的最安全做法。

Lambda 函数应如何获取其 AWS 凭证？