Amazon Pinpoint가 추천 데이터를 처리하도록 권한을 부여하는 Lambda 함수 정책 할당

Lambda 함수를 사용하여 추천 데이터를 처리하려면 먼저 함수를 간접적으로 호출할 권한을 Amazon Pinpoint에 부여해야 합니다. 호출 권한을 부여하려면 함수에 Lambda 함수 정책을 할당합니다. Lambda 함수 정책은 리소스 기반 권한 정책으로, 함수를 사용할 수 있는 개체와 이러한 엔터티가 실행할 수 있는 작업을 지정합니다. 자세한 내용은 AWS Lambda 개발자 안내서에서 AWS Lambda에 리소스 기반 정책 사용을 참조하세요.

아래의 예제 정책은 Amazon Pinpoint 서비스 주체가 특정 Amazon Pinpoint 프로젝트(projectId)에서 특정 Amazon Pinpoint 캠페인(campaignId) 에 대한 lambda:InvokeFunction 작업을 사용할 수 있도록 허용합니다.

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

함수 정책에는 Condition 키를 포함하는 AWS:SourceArn 블록이 필요합니다. 이 키는 함수를 간접적으로 호출할 수 있는 리소스를 지정합니다. 앞의 예에서 정책은 하나의 특정 캠페인이 함수를 간접적으로 호출하도록 허용합니다.

또한 Amazon Pinpoint 서비스 주체가 특정 Amazon Pinpoint 프로젝트(projectId)의 모든 캠페인 및 여정에 lambda:InvokeFunction 작업을 사용할 수 있도록 허용하는 정책을 작성할 수 있습니다. 다음 예제 정책은 이를 보여 줍니다.

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

첫 번째 예제와 달리 이 예제의 Condition 블록에 있는 AWS:SourceArn 키를 사용하면 한 특정 프로젝트에서 함수를 간접적으로 호출할 수 있습니다. 이 권한은 프로젝트의 모든 캠페인 및 여정에 적용됩니다.

더 일반적인 정책을 작성하려면 다중 문자 매칭 와일드카드(*)를 사용하면 됩니다. 예를 들어 아래의 Condition 블록을 사용하여 모든 Amazon Pinpoint 프로젝트에서 함수를 간접적으로 호출할 수 있습니다.

"Condition": {
  "ArnLike": {
    "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
  }
}

Amazon Pinpoint 계정에 대한 모든 프로젝트에서 Lambda 함수를 사용하려면 앞의 방법으로 정책의 Condition 블록을 구성하는 것이 좋습니다. 그러나 특정 리소스에 대해 특정 작업을 수행하는 데 필요한 권한만 포함하는 정책을 만드는 것이 가장 좋습니다.