Asignar una política de función de Lambda para autorizar a Amazon Pinpoint a procesar datos de recomendaciones

Antes de poder utilizar la función de Lambda para procesar los datos de recomendación, debe autorizar a que Amazon Pinpoint invoque la función. Para conceder permiso de invocación, asigne una política de función de Lambda a la función. Una política de función de Lambda consiste en una política de permisos basada en el recurso que designa qué entidades pueden usar una función y qué acciones pueden realizar dichas entidades. Para obtener más información, consulte Uso de políticas basadas en recursos para AWS Lambda en la Guía para desarrolladores de AWS Lambda.

La siguiente política de ejemplo permite a la entidad principal del servicio de Amazon Pinpoint usar la acción lambda:InvokeFunction para una campaña de Amazon Pinpoint en particular (campaignId) en un proyecto de Amazon Pinpoint concreto (projectId):

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

La política de función requiere un bloque Condition que incluye una clave AWS:SourceArn. Esta clave especifica qué recurso puede invocar la función. En el ejemplo anterior, la directiva permite que una campaña concreta invoque la función.

También puede escribir una política que permita a la entidad principal del servicio de Amazon Pinpoint utilizar la acción lambda:InvokeFunction para todas las campañas y recorridos de un proyecto de Amazon Pinpoint específico (projectId). La siguiente política de ejemplo se muestra esto:

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

A diferencia del primer ejemplo, la clave AWS:SourceArn del bloque Condition de este ejemplo permite que un proyecto en particular invoque la función. Este permiso se aplica a todas las campañas y recorridos del proyecto.

Para escribir una política más genérica, utilice caracteres comodín (*) que sustituyan a varios caracteres. Por ejemplo, puede utilizar el siguiente bloque de Condition para permitir que cualquier proyecto de Amazon Pinpoint invoque la función:

"Condition": {
  "ArnLike": {
    "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
  }
}

Si desea utilizar la función de Lambda con todos los proyectos de la cuenta de Amazon Pinpoint, le recomendamos que configure el bloque Condition de la política de la forma anterior. Sin embargo, como práctica recomendada, debe crear políticas que incluyan solo los permisos necesarios para realizar una acción específica en un recurso específico.