为该函数授予尽量收窄的角色

您是报表团队的后端开发，同事正准备上线一个名为 report-generator 的 Lambda 函数。它每天早晨会从报表桶中读取一个对象，并写入自己的日志；目前它还没有独立身份。几乎没有任何工作负载会以您的个人身份运行，因此在该函数调用 AWS 之前，需要一个执行角色。

在附加 AmazonS3ReadOnlyAccess 后，如果 report-generator 明天被攻破，它最多可以访问到什么？