AWS Lambda のアクション、リソース、および条件キー - サービス認可リファレンス
アクションリソースタイプ条件キー

AWS Lambda のアクション、リソース、および条件キー

AWS Lambda (サービスプレフィックス: lambda) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

AWS Lambda で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

アクションテーブルの [アクセスレベル] 列では、アクションの指定方法 (リスト、読み取り、アクセス許可管理、タグ付け) について説明します。このように分類することで、ポリシーで使用する際にアクションで付与するアクセスレベルを理解しやすくなります。アクセスレベルの詳細については、「ポリシー概要内のアクセスレベル」を参照してください。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

Actions テーブルの [依存アクション] 列には、アクションを正常に呼び出すために必要な追加のアクセス許可が表示されます。これらのアクセス許可は、アクション自体のアクセス許可に加えて必要になる場合があります。アクションが依存アクションを指定すると、それらの依存関係は、テーブルにリストされている最初のリソースだけでなく、そのアクションに定義された追加のリソースに適用される場合があります。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション 説明 アクセスレベル リソースタイプ (* 必須) 条件キー 依存アクション
AddLayerVersionPermission AWS Lambda レイヤーのバージョンのリソースベースのポリシーにアクセス許可を追加するアクセス許可を付与 Permissions management

layerVersion*

AddPermission AWS のサービスまたは別のアカウントに AWS Lambda 関数を使用するアクセス許可を付与アクセス許可を付与 Permissions management

function*

lambda:Principal

lambda:FunctionUrlAuthType

CreateAlias Lambda 関数バージョンのエイリアスを作成する許可を付与。 書き込み

function*

CreateCodeSigningConfig AWS Lambda コード署名設定を作成するアクセス許可を付与 書き込み

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEventSourceMapping イベントソースと AWS Lambda 関数間のマッピングを作成するアクセス許可を付与 書き込み

lambda:FunctionArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunction AWS Lambda 関数を作成するアクセス許可を付与 書き込み

function*

iam:PassRole

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

lambda:CodeSigningConfigArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunctionUrlConfig Lambda 関数の関数 URL 設定を作成するアクセス許可を付与 書き込み

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteAlias AWS Lambda 関数のエイリアスを削除するアクセス許可を付与 書き込み

function*

DeleteCodeSigningConfig AWS Lambda コード署名設定を削除するアクセス許可を付与 書き込み

code signing config*

DeleteEventSourceMapping AWS Lambda イベントソースマッピングを削除するアクセス許可を付与 書き込み

eventSourceMapping*

lambda:FunctionArn

DeleteFunction AWS Lambda 関数を削除するアクセス許可を付与 書き込み

function*

DeleteFunctionCodeSigningConfig AWS Lambda 関数からコード署名設定をデタッチするアクセス許可を付与 書き込み

function*

DeleteFunctionConcurrency AWS Lambda 関数から同時実行制限を削除するアクセス許可を付与 書き込み

function*

DeleteFunctionEventInvokeConfig AWS Lambda 関数、バージョン、またはエイリアスの非同期呼び出しの設定を削除するアクセス許可を付与 書き込み

function*

DeleteFunctionUrlConfig Lambda 関数の関数 URL 設定を削除するアクセス許可を付与 書き込み

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteLayerVersion AWS Lambda レイヤーのバージョンを削除するアクセス許可を付与 書き込み

layerVersion*

DeleteProvisionedConcurrencyConfig AWS Lambda 関数のプロビジョニングされた同時実行設定を削除するアクセス許可を付与 書き込み

function alias

function version

DisableReplication [アクセス許可のみ] Lambda@Edge 関数のレプリケーションを無効にする許可を付与。 Permissions management

function*

EnableReplication [アクセス許可のみ] Lambda@Edge 関数のレプリケーションを有効にする許可を付与。 Permissions management

function*

GetAccountSettings AWS リージョン でのアカウントの制限と使用状況に関する詳細を表示するアクセス許可を付与 読み込み
GetAlias AWS Lambda 関数のエイリアスの詳細を表示するアクセス許可を付与 読み込み

function*

GetCodeSigningConfig AWS Lambda コード署名設定の詳細を表示するアクセス許可を付与 読み込み

code signing config*

GetEventSourceMapping AWS Lambda イベントソースマッピングの詳細を表示するアクセス許可を付与 読み込み

eventSourceMapping*

lambda:FunctionArn

GetFunction AWS Lambda 関数の詳細を表示するアクセス許可を付与 読み込み

function*

GetFunctionCodeSigningConfig AWS Lambda 関数にアタッチされたコード署名設定 arn を表示するアクセス許可を付与 読み込み

function*

GetFunctionConcurrency 関数の予約済み同時実行設定の詳細を表示する許可を付与。 読み込み

function*

GetFunctionConfiguration AWS Lambda 関数またはバージョンのバージョン固有の設定に関する詳細を表示するアクセス許可を付与 読み込み

function*

GetFunctionEventInvokeConfig 関数、バージョン、またはエイリアスの非同期呼び出しの設定を表示する許可を付与。 読み取り

function*

GetFunctionRecursionConfig AWS Lambda 関数の再帰設定を表示する許可を付与する 読み取り

function*

GetFunctionUrlConfig Lambda 関数の関数 URL 設定を読み取るアクセス許可を付与 読み込み

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

GetLayerVersion AWS Lambda レイヤーのバージョンの詳細を表示するアクセス許可を付与 このアクションは、GetLayerVersionByArn API もサポートしていることに注意してください 読み込み

layerVersion*

GetLayerVersionPolicy AWS Lambda レイヤーのバージョンに対するリソースベースのポリシーを表示するアクセス許可を付与 読み込み

layerVersion*

GetPolicy AWS Lambda 関数、バージョン、またはエイリアスのリソースベースのポリシーを表示するアクセス許可を付与 読み込み

function*

GetProvisionedConcurrencyConfig AWS Lambda 関数のエイリアスまたはバージョンのプロビジョニングされた同時実行設定を表示するアクセス許可を付与 読み取り

function alias

function version

GetRuntimeManagementConfig AWS Lambda 関数のランタイム管理設定を表示するための許可を付与します 読み取り

function*

InvokeAsync (非推奨) 関数を非同期的に呼び出すアクセス許可を付与 書き込み

function*

InvokeFunction AWS Lambda 関数を呼び出すアクセス許可を付与 書き込み

function*

lambda:EventSourceToken

InvokeFunctionUrl [アクセス許可のみ] AWS Lambda 関数を URL によって呼び出すアクセス許可を付与 書き込み

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

lambda:EventSourceToken

ListAliases AWS Lambda 関数のエイリアスのリストを取得するアクセス許可を付与 リスト

function*

ListCodeSigningConfigs AWS Lambda コード署名設定のリストを取得するアクセス許可を付与 リスト
ListEventSourceMappings AWS Lambda イベントソースマッピングのリストを取得するアクセス許可を付与 リスト
ListFunctionEventInvokeConfigs 関数の非同期呼び出しの設定リストを取得する許可を付与。 リスト

function*

ListFunctionUrlConfigs 関数の関数 URL 設定を読み取るアクセス許可を付与 リスト

function*

lambda:FunctionUrlAuthType

ListFunctions 各関数のバージョン固有の設定とともに、AWS Lambda 関数のリストを取得するアクセス許可を付与 リスト
ListFunctionsByCodeSigningConfig 割り当てられたコード署名設定によって AWS Lambda 関数のリストを取得するアクセス許可を付与 リスト

code signing config*

ListLayerVersions AWS Lambda レイヤーのバージョンのリストを取得するアクセス許可を付与 リスト
ListLayers 各レイヤーの最新バージョンに関する詳細とともに、AWS Lambda レイヤーのリストを取得するアクセス許可を付与 リスト
ListProvisionedConcurrencyConfigs AWS Lambda 関数のプロビジョニングされた同時実行設定のリストを取得するアクセス許可を付与 リスト

function*

ListTags AWS Lambda 関数、イベントソースマッピング、またはコード署名設定リソースのタグのリストを取得する許可を付与する 読み取り

code signing config

eventSourceMapping

function

ListVersionsByFunction AWS Lambda 関数のバージョンのリストを取得するアクセス許可を付与 リスト

function*

PublishLayerVersion AWS Lambda レイヤーを作成するアクセス許可を付与 書き込み

layer*

PublishVersion AWS Lambda 関数バージョンを作成するアクセス許可を付与 書き込み

function*

PutFunctionCodeSigningConfig AWS Lambda 関数にコード署名設定をアタッチするアクセス許可を付与 書き込み

code signing config*

function*

lambda:CodeSigningConfigArn

PutFunctionConcurrency AWS Lambda 関数の予約済み同時実行を設定するアクセス許可を付与 書き込み

function*

PutFunctionEventInvokeConfig AWS Lambda 関数、バージョン、またはエイリアスで非同期呼び出しのオプションを設定するアクセス許可を付与 あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

function*

PutFunctionRecursionConfig AWS Lambda 関数の再帰設定を更新する許可を付与する あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

function*

PutProvisionedConcurrencyConfig AWS Lambda 関数のエイリアスまたはバージョンに対してプロビジョニングされた同時実行を設定するアクセス許可を付与 あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

function alias

function version

PutRuntimeManagementConfig AWS Lambda 関数のランタイム管理設定を更新するための許可を付与します あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

function*

RemoveLayerVersionPermission AWS Lambda レイヤーのバージョンのアクセス許可ポリシーからステートメントを削除するアクセス許可を付与 Permissions management

layerVersion*

RemovePermission AWS のサービスまたは別のアカウントから関数の使用のアクセス許可を取り消すアクセス許可を付与 権限の管理

function*

lambda:Principal

lambda:FunctionUrlAuthType

TagResource AWS Lambda 関数、イベントソースマッピング、またはコード署名設定リソースにタグを追加する許可を付与する タグ付け

code signing config

eventSourceMapping

function

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource AWS Lambda 関数、イベントソースマッピング、またはコード署名設定リソースからタグを削除する許可を付与する タグ付け

code signing config

eventSourceMapping

function

aws:TagKeys

UpdateAlias AWS Lambda 関数のエイリアスの設定を更新するアクセス許可を付与 書き込み

function*

UpdateCodeSigningConfig AWS Lambda コード署名設定を更新するアクセス許可を付与 書き込み

code signing config*

UpdateEventSourceMapping AWS Lambda イベントソースマッピングの設定を更新するアクセス許可を付与 書き込み

eventSourceMapping*

lambda:FunctionArn

UpdateFunctionCode AWS Lambda 関数のコードを更新するアクセス許可を付与 書き込み

function*

UpdateFunctionCodeSigningConfig AWS Lambda 関数のコード署名設定を更新するアクセス許可を付与 書き込み

code signing config*

function*

UpdateFunctionConfiguration AWS Lambda 関数のバージョン固有の設定を変更するアクセス許可を付与 書き込み

function*

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

UpdateFunctionEventInvokeConfig AWS Lambda 関数、バージョン、またはエイリアスの非同期呼び出しの設定を変更するアクセス許可を付与 書き込み

function*

UpdateFunctionUrlConfig Lambda 関数の関数 URL 設定を更新するアクセス許可を付与 書き込み

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

AWS Lambda で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ ARN 条件キー
code signing config arn:${Partition}:lambda:${Region}:${Account}:code-signing-config:${CodeSigningConfigId}

aws:ResourceTag/${TagKey}

eventSourceMapping arn:${Partition}:lambda:${Region}:${Account}:event-source-mapping:${UUID}

aws:ResourceTag/${TagKey}

function arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}

aws:ResourceTag/${TagKey}

function alias arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Alias}

aws:ResourceTag/${TagKey}

function version arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Version}

aws:ResourceTag/${TagKey}

layer arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}
layerVersion arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}:${LayerVersion}

AWS Lambda の条件キー

AWS Lambda では、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「AWSグローバル条件コンテキストキー」を参照してください。

条件キー 説明 タイプ
aws:RequestTag/${TagKey} リクエストで渡されたタグでアクセスをフィルタリングします 文字列
aws:ResourceTag/${TagKey} リソースに関連付けられたタグでアクセスをフィルタリングします 文字列
aws:TagKeys リクエストで渡されたタグキーでアクセスをフィルタリングします ArrayOfString
lambda:CodeSigningConfigArn AWS Lambda コード署名設定の ARN でアクセスをフィルタリングします ARN
lambda:EventSourceToken AWS Lambda 関数用に設定された非 AWS イベントソースからのアクセスを ID でフィルタリングします 文字列
lambda:FunctionArn AWS Lambda 関数の ARN でアクセスをフィルタリングします ARN
lambda:FunctionUrlAuthType リクエストで指定された認可タイプでアクセスをフィルタリングします。CreateFunctionUrlConfig、UpdateFunctionUrlConfig、DeleteFunctionUrlConfig、GetFunctionUrlConfig、ListFunctionUrlConfig、AddPermission、および RemovePermission のオペレーション中に使用できます 文字列
lambda:Layer AWS Lambda レイヤーの ARN でアクセスをフィルタリングします ArrayOfString
lambda:Principal 関数を呼び出すことができる AWS のサービスまたはアカウントを制限して、アクセスをフィルタリングします 文字列
lambda:SecurityGroupIds AWS Lambda 関数に設定されたセキュリティグループの ID でアクセスをフィルタリングします ArrayOfString
lambda:SourceFunctionArn リクエストが発生した AWS Lambda 関数の ARN によってアクセスをフィルタリング ARN
lambda:SubnetIds AWS Lambda 関数に設定されたサブネットの ID でアクセスをフィルタリングします ArrayOfString
lambda:VpcIds AWS Lambda 関数に設定された VPC の ID でアクセスをフィルタリングします 文字列