Weisen Sie eine Lambda-Funktionsrichtlinie zu, um Amazon Pinpoint zur Verarbeitung von Empfehlungsdaten zu autorisieren

Bevor Sie die Lambda-Funktion zum Verarbeiten von Empfehlungsdaten verwenden können, müssen Sie Amazon Pinpoint zum Aufruf der Funktion berechtigen. Um eine Aufrufberechtigung zu erteilen, weisen Sie der Funktion eine Lambda-Funktionsrichtlinie zu. Eine Lambda-Funktionsrichtlinie ist eine ressourcenbasierte Berechtigungsrichtlinie, die bestimmt, welche Entitäten eine Funktion verwenden dürfen und welche Aktionen diese Entitäten durchführen können. Weitere Informationen finden Sie unter Verwenden von ressourcenbasierten Richtlinien für AWS Lambda im AWS Lambda -Entwicklerhandbuch.

Die folgende Beispielrichtlinie ermöglicht es dem Amazon Pinpoint Service Principal, die lambda:InvokeFunction Aktion für eine bestimmte Amazon Pinpoint Pinpoint-Kampagne (campaignId) in einem bestimmten Amazon Pinpoint Pinpoint-Projekt () zu verwenden: projectId

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

Die Funktionsrichtlinie erfordert einen Condition-Block, der einen AWS:SourceArn-Schlüssel beinhaltet. Dieser Schlüssel gibt an, welche Ressource die Funktion aufrufen darf. Im vorherigen Beispiel ermöglicht es die Richtlinie einer bestimmten Kampagne, die Funktion aufzurufen.

Sie können auch eine Richtlinie verfassen, die es dem Amazon Pinpoint Service Principal ermöglicht, die lambda:InvokeFunction Aktion für alle Kampagnen und Journeys in einem bestimmten Amazon Pinpoint Pinpoint-Projekt zu verwenden ()projectId. Die folgende Beispielrichtlinie zeigt dies:

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

Im Gegensatz zum ersten Beispiel erlaubt es der AWS:SourceArn-Schlüssel im Condition-Block dieses Beispiels einem bestimmten Projekt, die Funktion aufzurufen. Diese Berechtigung gilt für alle Kampagnen und Journeys im Projekt.

Um eine allgemeinere Richtlinie zu schreiben, können Sie Wildcards (*), die mehrere Zeichen darstellen, verwenden. So können Sie beispielsweise den folgenden Condition-Block verwenden, um jedem Amazon-Pinpoint-Projekt den Aufruf der Funktion zu gestatten:

"Condition": {
  "ArnLike": {
    "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
  }
}

Wenn Sie die Lambda-Funktion mit allen Projekten für Ihr Amazon-Pinpoint-Konto verwenden möchten, empfehlen wir, den Condition-Block der Richtlinie auf die vorherige Weise zu konfigurieren. Als bewährte Methode sollten Sie jedoch Richtlinien erstellen, die nur die zum Ausführen einer bestimmten Aktion für eine bestimmte Ressource erforderlichen Berechtigungen enthalten.