Implemente el aislamiento de inquilinos de SaaS para Amazon S3 mediante una máquina expendedora de AWS Lambda fichas

Determine los valores de las variables.

La implementación de este patrón incluye varios nombres de variables que deben usarse de manera coherente. Determine los valores a usar para cada variable y proporcione cada valor cuando se le solicite en los siguientes pasos.

Cree un bucket de S3 para la aplicación de ejemplo.

Usa el siguiente AWS CLI comando para crear un bucket de S3. Proporcione el <sample-app-bucket-name> valor en el fragmento de código:

aws s3api create-bucket --bucket <sample-app-bucket-name>

La aplicación de ejemplo de Lambda carga archivos JSON en este bucket.

Crear un rol de TVM.

Utilice uno de los siguientes AWS CLI comandos para crear un rol de IAM. Proporcione el <sample-tvm-role-name> valor en el comando.

Para los intérprete de comandos para macOS o Linux:

aws iam create-role \
--role-name <sample-tvm-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com"
                ]
            },
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<AWS Account ID>"
                }
            }
        }
    ]
}'

En la línea de comandos de Windows:

aws iam create-role ^
--role-name <sample-tvm-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"sts:AssumeRole\"], \"Principal\": {\"Service\": [\"lambda.amazonaws.com\"]}, \"Condition\": {\"StringEquals\": {\"aws:SourceAccount\": \"<AWS Account ID>\"}}}]}"

La aplicación de ejemplo de Lambda asume este rol cuando se invoca la aplicación. La capacidad de asumir el rol de aplicación con una política específica otorga al código permisos más amplios para acceder al bucket de S3.

Cree una política de rol de TVM en línea.

Utilice uno de los siguientes AWS CLI comandos para crear una política de IAM. Proporcione los <sample-app-role-name> valores <sample-tvm-role-name> <AWS Account ID>, y en el comando.

Para los intérprete de comandos para macOS o Linux:

aws iam put-role-policy \
--role-name <sample-tvm-role-name> \
--policy-name assume-app-role \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": "sts:AssumeRole", 
            "Resource": "arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>"
        }
    ]}'

En la línea de comandos de Windows:

aws iam put-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-name assume-app-role ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": \"sts:AssumeRole\", \"Resource\": \"arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>\"}]}"

Esta política está asociada al rol de TVM. Proporciona la capacidad de asumir el rol de aplicación que otorga permisos más amplios para acceder al bucket de S3.

Adjunte la política de Lambda gestionada.

Utilice el siguiente AWS CLI comando para adjuntar la política de AWSLambdaBasicExecutionRole IAM. Proporcione el <sample-tvm-role-name> valor en el comando:

aws iam attach-role-policy \
--role-name <sample-tvm-role-name> \
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

En la línea de comandos de Windows:

aws iam attach-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Esta política gestionada se adjunta a la función TVM para permitir que Lambda envíe registros a Amazon. CloudWatch

Crear el rol de la aplicación.

Utilice uno de los siguientes AWS CLI comandos para crear un rol de IAM. Proporcione los <sample-tvm-role-name> valores <sample-app-role-name><AWS Account ID>, y en el comando.

Para los intérprete de comandos para macOS o Linux:

aws iam create-role \
--role-name <sample-app-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": 
            "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>"
            },
            "Action": "sts:AssumeRole"
        }
    ]}'

En la línea de comandos de Windows:

aws iam create-role ^
--role-name <sample-app-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\",\"Principal\": {\"AWS\": \"arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>\"},\"Action\": \"sts:AssumeRole\"}]}"

La aplicación de ejemplo de Lambda asume esta función con una política específica para obtener acceso basado en usuario a un bucket de S3.

Cree una política de rol de aplicación en línea.

Utilice uno de los siguientes AWS CLI comandos para crear una política de IAM. Proporcione los <sample-app-bucket-name> valores <sample-app-role-name> y en el comando.

Para los intérprete de comandos para macOS o Linux:

aws iam put-role-policy \
--role-name <sample-app-role-name> \
--policy-name s3-bucket-access \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": [
                "s3:PutObject", 
                "s3:GetObject", 
                "s3:DeleteObject"
            ], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>/*"
        }, 
        {
            "Effect": "Allow", 
            "Action": ["s3:ListBucket"], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>"
        }
    ]}'

En la línea de comandos de Windows:

aws iam put-role-policy ^
--role-name <sample-app-role-name> ^
--policy-name s3-bucket-access ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"s3:PutObject\", \"s3:GetObject\", \"s3:DeleteObject\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>/*\"}, {\"Effect\": \"Allow\", \"Action\": [\"s3:ListBucket\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>\"}]}"

Esta política está asociada al rol de la aplicación. Proporciona un acceso amplio a los objetos del bucket de S3. Cuando la aplicación de ejemplo asume el rol, estos permisos se asignan a un usuario específico con la política de TVM generada de forma dinámica.

Descargue los archivos fuente compilados.

Descargue los archivos s3UploadSample.jar y tvm-layer.zip, que se incluyen como adjuntos. El código fuente utilizado para crear estos artefactos y las instrucciones de compilación se proporcionan en token-vending-machine-sample-app.zip.

Cree la capa de Lambda.

Utilice el siguiente AWS CLI comando para crear una capa Lambda, que haga que Lambda pueda acceder a la TVM. 

aws lambda publish-layer-version \
--layer-name sample-token-vending-machine \
--compatible-runtimes java11 \
--zip-file fileb://tvm-layer.zip

En la línea de comandos de Windows:

aws lambda publish-layer-version ^
--layer-name sample-token-vending-machine ^
--compatible-runtimes java11 ^
--zip-file fileb://tvm-layer.zip

Este comando crea una capa de Lambda que contiene la biblioteca TVM reutilizable.

Crear la función de Lambda.

Utilice el siguiente AWS CLI comando para crear una función Lambda. Proporcione los <sample-app-role-name> valores <sample-app-function-name><AWS Account ID>,<AWS Region>, <sample-tvm-role-name><sample-app-bucket-name>, y en el comando. 

aws lambda create-function \
--function-name <sample-app-function-name>  \
--timeout 30 \
--memory-size 256 \
--runtime java11 \
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> \
--handler com.amazon.aws.s3UploadSample.App \
--zip-file fileb://s3UploadSample.jar \
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 \
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,
ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

En la línea de comandos de Windows:

aws lambda create-function ^
--function-name <sample-app-function-name>  ^
--timeout 30 ^
--memory-size 256 ^
--runtime java11 ^
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> ^
--handler com.amazon.aws.s3UploadSample.App ^
--zip-file fileb://s3UploadSample.jar ^
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 ^
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

Este comando crea una función de Lambda con el código de la aplicación de ejemplo y la capa de TVM adjunta. También establece dos variables de entorno: S3_BUCKET y ROLE. La aplicación de ejemplo usa estas variables para determinar el rol que debe asumir y el bucket de S3 en el que se deben cargar los documentos JSON.

Invoque la aplicación de ejemplo de Lambda.

Utilice uno de los siguientes AWS CLI comandos para iniciar la aplicación de ejemplo de Lambda con la carga útil esperada. Proporcione los <sample-tenant-name> valores <sample-app-function-name> y en el comando.

Para intérprete de comandos macOS y Linux:

aws lambda invoke \
--function <sample-app-function-name> \
--invocation-type RequestResponse \
--payload '{"tenant": "<sample-tenant-name>"}' \
--cli-binary-format raw-in-base64-out response.json

En la línea de comandos de Windows:

aws lambda invoke ^
--function <sample-app-function-name> ^
--invocation-type RequestResponse ^
--payload "{\"tenant\": \"<sample-tenant-name>\"}" ^
--cli-binary-format raw-in-base64-out response.json

Este comando llama a la función de Lambda y devuelve el resultado en un documento response.json. En muchos sistemas basados en Unix, puede cambiar response.json a /dev/stdout para enviar los resultados directamente a su intérprete de comandos sin necesidad de crear otro archivo. 

Acceda al bucket de S3 para ver los objetos creados.

Navegue hasta el bucket de S3 (<sample-app-bucket-name>) que creó anteriormente. Este depósito contiene un prefijo de objeto S3 con el valor de<sample-tenant-name>. Bajo ese prefijo, encontrará un documento JSON denominado con un UUID. Si invoca la aplicación de ejemplo varias veces, se añadirán más documentos JSON.

Vea los registros de la aplicación de muestra en CloudWatch Logs.

Vea los registros que están asociados a la función Lambda nombrada <sample-app-function-name> en CloudWatch Logs. Para obtener instrucciones, consulte Envío de registros de funciones de Lambda a CloudWatch registros en la documentación de Lambda. En estos registros puede ver la política basada en usuario generada por la TVM. Esta política dirigida al inquilino otorga permisos para la aplicación de ejemplo a Amazon S3 PutObject,, y GetObjectDeleteObjectListBucket APIs, pero solo para el prefijo de objeto al que está asociado. <sample-tenant-name> En las siguientes invocaciones de la aplicación de ejemplo, si se cambia<sample-tenant-name>, la TVM actualiza la política con el ámbito de aplicación para que se ajuste al inquilino proporcionado en la carga útil de invocación. Esta política generada dinámicamente muestra cómo se puede mantener el acceso basado en usuario con una TVM en aplicaciones SaaS. 

La funcionalidad de TVM se proporciona en una capa de Lambda. Así, es posible adjuntarla a otras funciones de Lambda usadas por una aplicación sin tener que replicar el código.

Para ver un ejemplo de la política generada dinámicamente, consulte la sección de Información adicional.