Assegna una policy di funzione Lambda per autorizzare Amazon Pinpoint a elaborare i dati delle raccomandazioni

Prima di poter utilizzare la funzione Lambda per elaborare i dati delle raccomandazioni, devi autorizzare Amazon Pinpoint a richiamare la funzione. Per concedere l'autorizzazione per l'invocazione, assegna una policy di funzione Lambda alla funzione. Una policy di funzione Lambda è una policy di autorizzazione basata su risorse che designa le entità che possono utilizzare la funzione e le azioni che tali entità possono eseguire. Per ulteriori informazioni, consulta Uso delle policy basate sulle risorse per AWS Lambda nella Guida per gli sviluppatori di AWS Lambda .

La seguente policy di esempio consente al responsabile del servizio Amazon Pinpoint di utilizzare l'lambda:InvokeFunctionazione per una particolare campagna Amazon Pinpoint campaignId () in un particolare progetto Amazon Pinpoint (): projectId

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

La policy di funzione richiede un blocco Condition che includa una chiave AWS:SourceArn. Questa chiave specifica quale risorsa può invocare la funzione. Nell'esempio precedente, la policy consente a una particolare campagna di richiamare la funzione.

Puoi anche scrivere una policy che consenta al responsabile del servizio Amazon Pinpoint di utilizzare l'lambda:InvokeFunctionazione per tutte le campagne e i percorsi di uno specifico progetto Amazon Pinpoint (). projectId Di seguito viene illustrato un esempio di policy che mostra questo approccio:

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

A differenza del primo esempio, la chiave AWS:SourceArn nel blocco Condition di questo esempio consente a un particolare progetto di invocare la funzione. Questa autorizzazione si applica a tutte le campagne e viaggi nel progetto.

Per scrivere una policy più generica, puoi utilizzare un carattere jolly di corrispondenza con più caratteri (*). Ad esempio, puoi utilizzare il seguente blocco Condition per consentire a qualsiasi progetto Amazon Pinpoint di richiamare la funzione:

"Condition": {
  "ArnLike": {
    "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
  }
}

Se desideri utilizzare la funzione Lambda con tutti i progetti per l'account Amazon Pinpoint, è consigliabile configurare il blocco Condition della policy come indicato in precedenza. Tuttavia, come procedura consigliata, dovresti creare policy che includano solo le autorizzazioni necessarie per eseguire un'operazione specifica su una risorsa specifica.