Attribuez une politique de fonction Lambda pour autoriser Amazon Pinpoint à traiter les données de recommandation

Avant de pouvoir utiliser votre fonction Lambda pour traiter les données de recommandation, vous devez autoriser Amazon Pinpoint à invoquer la fonction. Pour accorder l'autorisation d'invocation, attribuez une stratégie de fonction Lambda à la fonction. Une stratégie de fonction Lambda est une stratégie d'autorisations basée sur les ressources qui désigne les entités qui peuvent utiliser une fonction et les actions que ces entités peuvent effectuer. Pour plus d'informations, consultez Utilisation des stratégies fondées sur les ressources pour AWS Lambda dans le Guide du développeur AWS Lambda .

L'exemple de politique suivant permet au responsable du service Amazon Pinpoint d'utiliser l'lambda:InvokeFunctionaction pour une campagne Amazon Pinpoint spécifique campaignId () dans un projet Amazon Pinpoint particulier () : projectId

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

La stratégie de fonction exige un bloc Condition qui inclut une clé AWS:SourceArn. Cette clé spécifie quelle ressource est autorisée à appeler la fonction. Dans l'exemple précédent, la stratégie permet à une campagne spécifique d'appeler la fonction.

Vous pouvez également rédiger une politique qui autorise le responsable du service Amazon Pinpoint à utiliser l'lambda:InvokeFunctionaction pour toutes les campagnes et tous les parcours d'un projet Amazon Pinpoint spécifique (). projectId L'exemple de stratégie ci-dessous montre ceci :

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

Contrairement au premier exemple, la clé AWS:SourceArn dans le bloc Condition de cet exemple permet à un projet particulier d'appeler la fonction. Cette autorisation s'applique à toutes les campagnes et à tous les parcours du projet.

Pour écrire une stratégie plus générique, vous pouvez utiliser des caractères génériques (*) correspondant à plusieurs caractères. Par exemple, vous pouvez utiliser le bloc Condition suivant pour autoriser n'importe quel projet Amazon Pinpoint à invoquer la fonction :

"Condition": {
  "ArnLike": {
    "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
  }
}

Si vous souhaitez utiliser la fonction Lambda avec tous les projets de votre compte Amazon Pinpoint, nous vous recommandons de configurer le bloc Condition de la stratégie comme indiqué précédemment. Toutefois, la bonne pratique consiste à créer des stratégies qui incluent uniquement les autorisations requises pour effectuer une action spécifique sur une ressource spécifique.