Atribuir uma política de função do Lambda para autorizar o Amazon Pinpoint a processar dados de recomendação

Antes de usar a função do Lambda para processar dados de recomendação, você deve autorizar o Amazon Pinpoint a invocar a função. Para conceder permissão de invocação, atribua uma política de função do Lambda à função. A política de função do Lambda é uma política de permissões baseada em recursos que designa as entidades que podem usar uma função e quais ações essas entidades podem executar. Para mais informações, consulte Uso de políticas com base em recursos para o AWS Lambda no Guia do usuário do AWS Lambda.

A política de exemplo a seguir permite que a entidade principal do serviço do Amazon Pinpoint use a ação lambda:InvokeFunction para uma campanha específica do Amazon Pinpoint (campaignId) em um projeto específico do Amazon Pinpoint (projectId):

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

A política de função requer um bloco Condition que inclua uma chave AWS:SourceArn. Essa chave especifica qual recurso tem permissão para invocar a função. No exemplo anterior, a política permite que uma campanha específica chame a função.

Você também pode escrever uma política que permita que a entidade principal do serviço do Amazon Pinpoint use a ação lambda:InvokeFunction para todas as campanhas e jornadas em um projeto específico do Amazon Pinpoint (projectId). A política de exemplo a seguir mostra isso:

{
  "Sid": "sid",
  "Effect": "Allow",
  "Principal": {
    "Service": "pinpoint.us-east-1.amazonaws.com"
  },
  "Action": "lambda:InvokeFunction",
  "Resource": "{arn:aws:lambda:us-east-1:accountId:function:function-name}",
  "Condition": {
    "ArnLike": {
      "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
    }
  }
}

Ao contrário do primeiro exemplo, a chave AWS:SourceArn no bloco Condition deste exemplo permite que um projeto específico chame a função. Essa permissão aplica-se a todas as campanhas e jornadas do projeto.

Para escrever uma política mais genérica, use um caractere curinga (*) que corresponda a vários caracteres. Por exemplo, você pode usar o seguinte bloco Condition para permitir que qualquer projeto do Amazon Pinpoint invoque a função:

"Condition": {
  "ArnLike": {
    "AWS:SourceArn": "arn:aws:mobiletargeting:us-east-1:accountId:recommenders/*"
  }
}

Para usar a função do Lambda com todos os projetos da sua conta do Amazon Pinpoint, recomendamos configurar o bloco Condition da política da maneira anterior. No entanto, para usar melhores práticas, crie políticas que incluem apenas as permissões necessárias para executar uma ação específica em um recurso específico.