BYOC 模式下，IAM 权限由企业自行配置，函数能访问哪些 AWS 资源、扮演什么角色，由企业内部安全策略决定。