AWS SAM ポリシーテンプレート

AWS Serverless Application Model (AWS SAM) では、ポリシーテンプレートのリストから選択して、Lambda 関数と AWS Step Functions ステートマシンの許可の範囲をアプリケーションが使用するリソースに絞り込むことができます。

ポリシーテンプレートを使用する AWS SAM の AWS Serverless Application Repository アプリケーションには、AWS Serverless Application Repository からのアプリケーションのデプロイに特別なお客様の承認は必要ありません。

新しいポリシーテンプレートの追加をリクエストしたい場合は、以下を実行します。

構文

AWS SAM テンプレートファイルで指定する各ポリシーテンプレートには、常にポリシーテンプレートのプレースホルダ値が含まれるオブジェクトを指定する必要があります。ポリシーテンプレートにプレースホルダ値が必要ない場合は、空のオブジェクトを指定する必要があります。

MyFunction:
  Type: AWS::Serverless::Function
  Properties:
    Policies:
      - PolicyTemplateName1:        # Policy template with placeholder value
          Key1: Value1
      - PolicyTemplateName2: {}     # Policy template with no placeholder value

例

例 1: プレースホルダー値が含まれるポリシーテンプレート

以下の例は、SQSPollerPolicy ポリシーテンプレートがリソースとして QueueName を期待する例です。AWS SAM テンプレートは、「MyQueue」Amazon SQS キューの名前を取得します。これは、同じアプリケーション内で作成する、またはアプリケーションに対するパラメータとしてリクエストすることができます。

MyFunction:
  Type: 'AWS::Serverless::Function'
  Properties:
    CodeUri: ${codeuri}
    Handler: hello.handler
    Runtime: python2.7
    Policies:
      - SQSPollerPolicy:
          QueueName:
            !GetAtt MyQueue.QueueName
				

例 2: プレースホルダー値が含まれないポリシーテンプレート

以下の例には、プレースホルダー値がない CloudWatchPutMetricPolicy ポリシーテンプレートが含まれています。

MyFunction:
  Type: 'AWS::Serverless::Function'
  Properties:
    CodeUri: ${codeuri}
    Handler: hello.handler
    Runtime: python2.7
    Policies:
      - CloudWatchPutMetricPolicy: {}
				

例 3: プレースホルダー値と通常の IAM ポリシーを含むポリシーテンプレート

次の例には、AmazonSQSFullAcess ポリシーと DynamoDBCrudPolicy ポリシーテンプレートが含まれています。AmazonSQSFullAccess ポリシーは IAM ポリシーであり、AWS SAM ポリシーではないことからポリシーが CloudFormationに直接渡されるため、空のオブジェクトを指定する必要はありません。

MyFunction:
  Type: 'AWS::Serverless::Function'
  Properties:
    CodeUri: ${codeuri}
    Handler: hello.handler
    Runtime: python2.7
    Policies:
      - AmazonSQSFullAccess // IAM policy could be set without passing an empty object
      - DynamoDBCrudPolicy: // SAM specific policy, has a defined structure
           TableName: 
             !Ref SampleTable
				

ポリシーテンプレート表

以下は、使用可能なポリシーテンプレートの表です。

トラブルシューティング

SAM CLI エラー:「Must specify valid parameter values for policy template '<policy-template-name>」

sam build の実行時に、以下のエラーが表示されます。

"Must specify valid parameter values for policy template '<policy-template-name>'"
            

これは、プレースホルダ値がないポリシーテンプレートを宣言したときに、空のオブジェクトが渡されなかったことを意味します。

これを修正するには、以下の CloudWatchPutMetricPolicy 例のようにポリシーを宣言します。

MyFunction:
  Policies:
    - CloudWatchPutMetricPolicy: {}