Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Gestione delle autorizzazioni in AWS Lambda
È possibile utilizzare AWS Identity and Access Management (IAM) per gestire le autorizzazioni in. AWS Lambda Esistono due categorie principali di autorizzazioni da considerare quando si lavora con le funzioni Lambda:
-
Autorizzazioni necessarie alle tue funzioni Lambda per eseguire azioni API e accedere ad altre risorse AWS
-
Autorizzazioni necessarie ad altri AWS utenti ed entità per accedere alle tue funzioni Lambda. Per ulteriori informazioni, consulta Concedere ad altre AWS entità l'accesso alle tue funzioni Lambda.
Le funzioni Lambda spesso devono accedere ad altre AWS risorse ed eseguire varie operazioni API su tali risorse. Ad esempio, è possibile che tu disponga di una funzione Lambda che risponde a un evento aggiornando le voci in un database Amazon DynamoDB. In questo caso, la funzione necessita delle autorizzazioni per accedere al database, nonché delle autorizzazioni per inserire o aggiornare elementi in quel database.
Definisci le autorizzazioni di cui ha bisogno la tua funzione Lambda in un ruolo IAM speciale chiamato ruolo di esecuzione. In questo ruolo, puoi allegare una policy che definisce tutte le autorizzazioni necessarie alla tua funzione per accedere ad altre AWS risorse e leggere da fonti di eventi. Ogni funzione Lambda deve avere un ruolo di esecuzione. Come minimo, il tuo ruolo di esecuzione deve avere accesso ad Amazon CloudWatch perché le funzioni Lambda accedono ai CloudWatch log per impostazione predefinita. Puoi collegare la policy gestita da AWSLambdaBasicExecutionRole al tuo ruolo di esecuzione per soddisfare questo requisito.
Per concedere Account AWS ad altre organizzazioni e servizi le autorizzazioni per accedere alle tue risorse Lambda, hai alcune opzioni:
-
Puoi utilizzare politiche basate sull'identità per concedere ad altri utenti l'accesso alle tue risorse Lambda. Identity-based le policy possono essere applicate direttamente agli utenti o a gruppi e ruoli associati a un utente.
-
Puoi utilizzare politiche basate sulle risorse per fornire altri account e Servizi AWS autorizzazioni per accedere alle tue risorse Lambda. Quando un utente prova ad accedere a una risorsa Lambda, Lambda considera sia le policy basate su identità dell'utente che la policy basata sulla risorsa della risorsa. Quando un AWS servizio come Amazon Simple Storage Service (Amazon S3) chiama la tua funzione Lambda, Lambda considera solo la policy basata sulle risorse.
-
Puoi utilizzare un modello controllo degli accessi basato su attributi (ABAC), per controllare l'accesso alle funzioni Lambda. Con ABAC, puoi collegare i tag a una funzione Lambda, inviarli in determinate richieste API o collegarli al principale IAM da cui proviene la richiesta. Per controllare gli accessi alla funzione, puoi invece specificare gli stessi tag nell'elemento di condizione di una policy IAM.
In AWS, è consigliabile concedere solo le autorizzazioni necessarie per eseguire un'attività (autorizzazioni con privilegi minimi). https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege Per implementarlo in Lambda, consigliamo di iniziare con una policy gestita da AWS. Puoi utilizzare queste policy gestite così come sono o come punto di partenza per scrivere le tue policy più restrittive.
Per aiutarti a ottimizzare le autorizzazioni per l'accesso con privilegi minimi, Lambda fornisce alcune condizioni aggiuntive che puoi includere nelle tue policy. Per ulteriori informazioni, consulta Fine-tuning le sezioni Risorse e condizioni delle politiche.
Per ulteriori informazioni su IAM, consulta la Guida per l'utente di IAM.
