Fine-tuning bagian Sumber Daya dan Ketentuan kebijakan

Anda dapat membatasi cakupan izin pengguna dengan menentukan sumber daya dan kondisi dalam kebijakan AWS Identity and Access Management (IAM). Setiap tindakan dalam kebijakan mendukung kombinasi jenis sumber daya dan kondisi yang bervariasi tergantung pada perilaku tindakan.

Setiap pernyataan kebijakan IAM memberikan izin untuk tindakan yang dilakukan pada sumber daya. Ketika tindakan tersebut tidak dilakukan berdasarkan sumber daya yang disebutkan, atau ketika Anda memberikan izin untuk melakukan tindakan pada semua sumber daya, nilai sumber daya dalam kebijakan tersebut adalah wildcard (*). Untuk banyak tindakan, Anda dapat membatasi sumber daya yang dapat dimodifikasi pengguna dengan menentukan Nama Sumber Daya Amazon (ARN) sumber daya, atau pola ARN yang cocok dengan beberapa sumber daya.

Berdasarkan jenis sumber daya, desain umum tentang cara membatasi ruang lingkup tindakan adalah sebagai berikut:

Untuk membatasi izin berdasarkan sumber daya, tentukan sumber daya berdasarkan ARN.

Misalnya, kebijakan berikut memungkinkan pengguna Akun AWS 123456789012 untuk memanggil fungsi bernama my-function di Wilayah AS Barat (Oregon) AWS .

Ini adalah kasus khusus di mana pengidentifikasi tindakan (lambda:InvokeFunction) berbeda dari operasi API (Aktifkan). Untuk tindakan lainnya, pengidentifikasi tindakan adalah nama operasi yang diawali dengan lambda:.

Memahami bagian Kondisi dalam kebijakan

Kondisi adalah elemen kebijakan opsional yang menerapkan logika tambahan untuk menentukan apakah suatu tindakan diperbolehkan. Selain kondisi umum yang didukung semua tindakan, Lambda mendefinisikan jenis kondisi yang dapat Anda gunakan untuk membatasi nilai parameter tambahan pada beberapa tindakan.

Misalnya, lambda:Principal kondisi ini memungkinkan Anda membatasi layanan atau akun yang dapat diberikan pengguna akses pemanggilan pada kebijakan berbasis sumber daya fungsi. Kebijakan berikut memungkinkan pengguna memberikan izin ke topik Amazon Simple Notification Service (Amazon SNS) untuk memanggil fungsi bernama. test

Kondisi mensyaratkan bahwa prinsipal adalah Amazon SNS dan bukan layanan atau akun lain. Pola sumber daya mengharuskan nama fungsi test dan mencakup nomor versi atau alias. Misalnya, test:v1.

Untuk informasi selengkapnya tentang sumber daya dan kondisi untuk Lambda dan AWS layanan lainnya, lihat T indakan, sumber daya, dan kunci kondisi untuk AWS layanan di Refer ensi O torisasi Layanan.

Fungsi referensi di bagian Sumber daya kebijakan

Anda mereferensikan fungsi Lambda dalam pernyataan kebijakan menggunakan Nama Sumber Daya Amazon (ARN). Format fungsi ARN tergantung pada apakah Anda mereferensikan seluruh fungsi (tidak memenuhi syarat) atau versi fungsi atau alias (memenuhi syarat).

Saat melakukan panggilan API Lambda, pengguna dapat menentukan versi atau alias dengan meneruskan versi ARN atau alias ARN di GetFunction FunctionName parameter, atau dengan menetapkan nilai dalam GetFunction Qualifier parameter. Lambda membuat keputusan otorisasi dengan membandingkan elemen sumber daya dalam kebijakan IAM dengan panggilan API FunctionName dan Qualifier diteruskan. Jika ada ketidakcocokan, Lambda menolak permintaan tersebut.

Apakah Anda mengizinkan atau menolak tindakan pada fungsi Anda, Anda harus menggunakan jenis ARN fungsi yang benar dalam pernyataan kebijakan Anda untuk mencapai hasil yang Anda harapkan. Misalnya, jika kebijakan Anda mereferensikan ARN yang tidak memenuhi syarat, Lambda menerima permintaan yang mereferensikan ARN yang tidak memenuhi syarat tetapi menolak permintaan yang mereferensikan ARN yang memenuhi syarat.

Jika kebijakan Anda mereferensikan ARN yang memenuhi syarat tertentu, Lambda menerima permintaan yang mereferensikan ARN tersebut tetapi menolak permintaan yang merujuk ARN yang tidak memenuhi syarat atau ARN lain yang memenuhi syarat, misalnya,. myFunction:2

Jika kebijakan Anda mereferensikan penggunaan ARN yang memenuhi syarat:*, Lambda menerima ARN yang memenuhi syarat tetapi menolak permintaan yang merujuk ARN yang tidak memenuhi syarat.

Jika kebijakan Anda merujuk pada penggunaan ARN apa pun*, Lambda menerima ARN yang memenuhi syarat atau tidak memenuhi syarat.

Merujuk eksekusi tahan lama di bagian Sumber daya kebijakan

Eksekusi tahan lama adalah sub-sumber daya dari versi fungsi. Untuk struktur ARN eksekusi tahan lama dan panduan kebijakan, lihatIzin IAM untuk fungsi tahan lama.

Anda dapat memanggil fungsi tahan lama hanya dengan nama fungsi atau ARN yang memenuhi syarat, sehingga kebijakan yang memungkinkan pemanggilan fungsi tahan lama harus sesuai dengan ARN yang memenuhi syarat. Untuk informasi selengkapnya, lihat ARNs Persyaratan yang memenuhi syarat.

Jika kebijakan Anda mereferensikan fungsi ARN yang tidak memenuhi syarat, Lambda menolak permintaan untuk tindakan eksekusi yang tahan lama. ARN yang tidak memenuhi syarat tidak pernah cocok dengan ARN eksekusi yang tahan lama.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:GetDurableExecution",
            "Resource": "arn:aws:lambda:us-west-2:123456789012:function:myDurableFunction"
        }
    ]
}

Jika kebijakan Anda mereferensikan fungsi ARN:*, Lambda menerima permintaan untuk eksekusi tahan lama dari setiap versi.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:GetDurableExecution",
            "Resource": "arn:aws:lambda:us-west-2:123456789012:function:myDurableFunction:*"
        }
    ]
}

Jika kebijakan Anda mereferensikan fungsi ARN:1/durable-execution/*, Lambda hanya menerima permintaan untuk eksekusi tahan lama versi 1.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:GetDurableExecution",
            "Resource": "arn:aws:lambda:us-west-2:123456789012:function:myDurableFunction:1/durable-execution/*"
        }
    ]
}

Lambda mengotorisasi lambda:ListDurableExecutionsByFunction tindakan terhadap fungsi ARN dari permintaan, bukan ARN eksekusi yang tahan lama. Aturan berikut berlaku untuk pencocokan ARN:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:ListDurableExecutionsByFunction",
            "Resource": [
                "arn:aws:lambda:us-west-2:123456789012:function:myDurableFunction",
                "arn:aws:lambda:us-west-2:123456789012:function:myDurableFunction:*"
            ]
        }
    ]
}

Tindakan IAM yang didukung dan perilaku fungsi

Tindakan menentukan apa yang dapat diizinkan melalui kebijakan IAM. Untuk daftar tindakan yang didukung di Lambda, lihat Tindakan, sumber daya, dan kunci kondisi untuk AWS Lambda di Referensi Otorisasi Layanan. Dalam kebanyakan kasus, ketika tindakan IAM mengizinkan tindakan API Lambda, nama tindakan IAM sama dengan nama tindakan API Lambda, dengan pengecualian berikut:

Selain sumber daya dan kondisi yang ditentukan dalam Referensi O torisasi Layanan, Lambda mendukung sumber daya dan kondisi berikut untuk tindakan tertentu. Banyak dari ini terkait dengan fungsi referensi di bagian sumber daya kebijakan. Tindakan yang beroperasi pada fungsi dapat dibatasi pada fungsi tertentu berdasarkan fungsi, versi, atau alias ARN, seperti yang dijelaskan dalam tabel berikut.