AWS Lambda トークン自動販売機を使用して Amazon S3 の SaaS テナント分離を実装する

可変値を決定します。

このパターンの実装には、一貫して使用しなければならない変数名がいくつか含まれています。各変数に使用すべき値を決定し、以降のステップで要求されたらその値を指定します。

サンプルアプリケーション用の S3 バケット環境を作成します。

S3 バケットを作成するには、次の AWS CLI コマンドを使用します。コードスニペット<sample-app-bucket-name>の値を指定します。

aws s3api create-bucket --bucket <sample-app-bucket-name>

Lambda サンプルアプリケーションは JSON ファイルをこのバケットにアップロードします。

TVM ロールを作成します。

IAM ロールを作成するには、次のいずれかの AWS CLI コマンドを使用します。コマンドで <sample-tvm-role-name>値を指定します。

macOS または Linux 上の Bash シェルの場合：

aws iam create-role \
--role-name <sample-tvm-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com"
                ]
            },
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<AWS Account ID>"
                }
            }
        }
    ]
}'

Windows コマンドラインの場合：

aws iam create-role ^
--role-name <sample-tvm-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"sts:AssumeRole\"], \"Principal\": {\"Service\": [\"lambda.amazonaws.com\"]}, \"Condition\": {\"StringEquals\": {\"aws:SourceAccount\": \"<AWS Account ID>\"}}}]}"

Lambda サンプルアプリケーションは、アプリケーションが呼び出されるとこのロールを引き受けます。スコープポリシーを使用してアプリケーションロールを引き受けることができるため、S3 バケットにアクセスするための幅広いアクセス権限がコードに付与されます。

インライン TVM ロールポリシーを作成します。

次のいずれかの AWS CLI コマンドを使用して、IAM ポリシーを作成します。コマンドで、<sample-tvm-role-name><AWS Account ID>、、および <sample-app-role-name>の値を指定します。

macOS または Linux 上の Bash シェルの場合：

aws iam put-role-policy \
--role-name <sample-tvm-role-name> \
--policy-name assume-app-role \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": "sts:AssumeRole", 
            "Resource": "arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>"
        }
    ]}'

Windows コマンドラインの場合：

aws iam put-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-name assume-app-role ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": \"sts:AssumeRole\", \"Resource\": \"arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>\"}]}"

このポリシーは、 マネージドのロール にアタッチされます。これにより、S3 バケットにアクセスするための幅広い権限を持つアプリケーションロールを引き受けることができるようコードに付与されます。

マネージド Lambda ポリシーをアタッチします。

IAM ポリシーをAWSLambdaBasicExecutionRoleアタッチするには、次の AWS CLI コマンドを使用します。コマンドで <sample-tvm-role-name>値を指定します。

aws iam attach-role-policy \
--role-name <sample-tvm-role-name> \
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Windows コマンドラインの場合：

aws iam attach-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

この管理ポリシーは TVM ロールにアタッチされ、Lambda が Amazon CloudWatch にログを送信することを許可します。

アプリケーションロールを作成します。

IAM ロールを作成するには、次のいずれかの AWS CLI コマンドを使用します。コマンドで <sample-app-role-name>、<AWS Account ID>、および <sample-tvm-role-name>の値を指定します。

macOS または Linux 上の Bash シェルの場合：

aws iam create-role \
--role-name <sample-app-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": 
            "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>"
            },
            "Action": "sts:AssumeRole"
        }
    ]}'

Windows コマンドラインの場合：

aws iam create-role ^
--role-name <sample-app-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\",\"Principal\": {\"AWS\": \"arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>\"},\"Action\": \"sts:AssumeRole\"}]}"

Lambda サンプルアプリケーションは、S3 バケットへのテナントベースのアクセスを取得するためのスコープポリシーを使用してこのロールを引き受けます。

インラインアプリケーションロールポリシーを作成します。

次のいずれかの AWS CLI mmands を使用して IAM ポリシーを作成します。コマンドで <sample-app-role-name>と <sample-app-bucket-name>の値を指定します。

macOS または Linux 上の Bash シェルの場合：

aws iam put-role-policy \
--role-name <sample-app-role-name> \
--policy-name s3-bucket-access \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": [
                "s3:PutObject", 
                "s3:GetObject", 
                "s3:DeleteObject"
            ], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>/*"
        }, 
        {
            "Effect": "Allow", 
            "Action": ["s3:ListBucket"], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>"
        }
    ]}'

Windows コマンドラインの場合：

aws iam put-role-policy ^
--role-name <sample-app-role-name> ^
--policy-name s3-bucket-access ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"s3:PutObject\", \"s3:GetObject\", \"s3:DeleteObject\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>/*\"}, {\"Effect\": \"Allow\", \"Action\": [\"s3:ListBucket\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>\"}]}"

このポリシーは、 マネージドのロール にアタッチされます。S3 バケット内のオブジェクトに幅広くアクセスできます。サンプルアプリケーションが役割を引き受けると、これらの権限は TVM の動的に生成されたポリシーによって特定のテナントに限定されます。

コンパイルされたソースファイルをダウンロードします。

添付ファイルとして含まれているs3UploadSample.jarおよびtvm-layer.zip ファイルをダウンロードします。これらのアーティファクトの作成に使用されたソースコードとコンパイル手順は、token-vending-machine-sample-app.zipに記載されています。

Lambda コードを作成します。

次の AWS CLI コマンドを使用して Lambda レイヤーを作成します。これにより、TVM が Lambda にアクセスできるようになります。 

aws lambda publish-layer-version \
--layer-name sample-token-vending-machine \
--compatible-runtimes java11 \
--zip-file fileb://tvm-layer.zip

Windows コマンドラインの場合：

aws lambda publish-layer-version ^
--layer-name sample-token-vending-machine ^
--compatible-runtimes java11 ^
--zip-file fileb://tvm-layer.zip

このコマンドは、再利用可能な TVM ライブラリを含む Lambda レイヤーを作成します。

Lambda 関数を作成します。

次の AWS CLI コマンドを使用して Lambda 関数を作成します。コマンドで <sample-app-function-name>、<AWS Account ID>、<AWS Region>、<sample-app-bucket-name>、、および <sample-tvm-role-name><sample-app-role-name>の値を指定します。 

aws lambda create-function \
--function-name <sample-app-function-name>  \
--timeout 30 \
--memory-size 256 \
--runtime java11 \
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> \
--handler com.amazon.aws.s3UploadSample.App \
--zip-file fileb://s3UploadSample.jar \
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 \
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,
ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

Windows コマンドラインの場合：

aws lambda create-function ^
--function-name <sample-app-function-name>  ^
--timeout 30 ^
--memory-size 256 ^
--runtime java11 ^
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> ^
--handler com.amazon.aws.s3UploadSample.App ^
--zip-file fileb://s3UploadSample.jar ^
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 ^
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

このコマンドは、サンプルアプリケーションコードと TVM レイヤーをアタッチした Lambda 関数を作成します。また、S3_BUCKETとROLEの 2 つの環境変数も設定します。サンプルアプリケーションでは、これらの変数を使用して、引き受けるロールと JSON ドキュメントをアップロードする S3 バケットを決定します。

Lambda サンプルアプリケーションを呼び出します。

次のいずれかの AWS CLI コマンドを使用して、予想されるペイロードで Lambda サンプルアプリケーションを起動します。コマンドで <sample-app-function-name>と <sample-tenant-name>の値を指定します。

macOS および Linux システムの場合：

aws lambda invoke \
--function <sample-app-function-name> \
--invocation-type RequestResponse \
--payload '{"tenant": "<sample-tenant-name>"}' \
--cli-binary-format raw-in-base64-out response.json

Windows コマンドラインの場合：

aws lambda invoke ^
--function <sample-app-function-name> ^
--invocation-type RequestResponse ^
--payload "{\"tenant\": \"<sample-tenant-name>\"}" ^
--cli-binary-format raw-in-base64-out response.json

このコマンドは Lambda 関数を呼び出し、結果をresponse.jsonドキュメントに返します。多くの UNIX ベースのシステムでは、response.jsonを/dev/stdoutに変更すると、別のファイルを作成せずに結果をシェルに直接出力できます。 

S3 バケットを表示して、作成されたオブジェクトを確認します。

前に作成した S3 バケット (<sample-app-bucket-name>) を参照します。このバケットには、 の値を持つ S3 オブジェクトプレフィックスが含まれています<sample-tenant-name>。そのプレフィックスの下に、UUID が付いた名前の JSON ドキュメントがあります。サンプルアプリケーションを複数回呼び出すと、JSON ドキュメントがさらに追加されます。

CloudWatch Logs でサンプルアプリケーションのログを表示します。

CloudWatch Logs <sample-app-function-name>で という名前の Lambda 関数に関連付けられているログを表示します。手順については、Lambda ドキュメントのCloudWatch Logs への Lambda 関数ログの送信」を参照してください。TVM によって生成されたテナントスコープのポリシーは、これらのログで確認できます。このテナントスコープポリシーは、サンプルアプリケーションのアクセス許可を Amazon S3 PutObject、GetObject、DeleteObject、ListBucket APIs に付与しますが、 に関連付けられているオブジェクトプレフィックスにのみ付与します<sample-tenant-name>。以降のサンプルアプリケーションの呼び出しで を変更すると<sample-tenant-name>、TVM は呼び出しペイロードで指定されたテナントに対応するようにスコープポリシーを更新します。この動的に生成されたポリシーは、SaaS アプリケーションで TVM を使用してテナントスコープのアクセスを維持する方法を示しています。 

TVM 機能は Lambda レイヤーで提供されるため、コードを複製しなくても、アプリケーションで使用される他の Lambda 関数に接続できます。

動的に生成されるポリシーの図については、「追加情報」セクションを参照してください。