Implemente o isolamento de inquilinos de SaaS para o Amazon S3 usando uma máquina de venda automática de tokens AWS Lambda

Determinar os valores das variáveis.

A implementação deste padrão inclui vários nomes de variáveis que devem ser usados de forma consistente. Determine os valores que devem ser usados para cada variável e forneça esse valor quando solicitado nas etapas subsequentes.

Criar um ambiente do bucket do S3 para o aplicativo de exemplo.

Use o AWS CLI comando a seguir para criar um bucket do S3. Forneça o <sample-app-bucket-name> valor no trecho de código:

aws s3api create-bucket --bucket <sample-app-bucket-name>

O aplicativo de exemplo Lambda carrega arquivos JSON nesse bucket.

Criar um perfil TVM.

Use um dos AWS CLI comandos a seguir para criar uma função do IAM. Forneça o <sample-tvm-role-name> valor no comando.

Para shells no macOS ou Linux:

aws iam create-role \
--role-name <sample-tvm-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com"
                ]
            },
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<AWS Account ID>"
                }
            }
        }
    ]
}'

Para a linha de comando do Windows:

aws iam create-role ^
--role-name <sample-tvm-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"sts:AssumeRole\"], \"Principal\": {\"Service\": [\"lambda.amazonaws.com\"]}, \"Condition\": {\"StringEquals\": {\"aws:SourceAccount\": \"<AWS Account ID>\"}}}]}"

O aplicativo de exemplo do Lambda assume essa função quando o aplicativo é invocado. A capacidade de assumir o perfil do aplicativo com uma política de escopo fornece ao código permissões mais amplas para acessar o bucket do S3.

Criar uma política de função de TVM em linha.

Use um dos AWS CLI comandos a seguir para criar uma política do IAM. <sample-tvm-role-name>Forneça os <sample-app-role-name> valores <AWS Account ID>, e no comando.

Para shells no macOS ou Linux:

aws iam put-role-policy \
--role-name <sample-tvm-role-name> \
--policy-name assume-app-role \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": "sts:AssumeRole", 
            "Resource": "arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>"
        }
    ]}'

Para a linha de comando do Windows:

aws iam put-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-name assume-app-role ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": \"sts:AssumeRole\", \"Resource\": \"arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>\"}]}"

Esta política é anexada à função da TVM. Dá ao código a capacidade de assumir o perfil do aplicativo que possui permissões mais amplas para acessar o bucket do S3.

Anexar a política gerenciada do Lambda.

Use o AWS CLI comando a seguir para anexar a política AWSLambdaBasicExecutionRole do IAM. Forneça o <sample-tvm-role-name> valor no comando:

aws iam attach-role-policy \
--role-name <sample-tvm-role-name> \
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Para a linha de comando do Windows:

aws iam attach-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Essa política gerenciada é anexada à função TVM para permitir que o Lambda envie registros para a Amazon. CloudWatch

Criar o perfil do aplicativo.

Use um dos AWS CLI comandos a seguir para criar uma função do IAM. <sample-app-role-name>Forneça os <sample-tvm-role-name> valores<AWS Account ID>, e no comando.

Para shells no macOS ou Linux:

aws iam create-role \
--role-name <sample-app-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": 
            "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>"
            },
            "Action": "sts:AssumeRole"
        }
    ]}'

Para a linha de comando do Windows:

aws iam create-role ^
--role-name <sample-app-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\",\"Principal\": {\"AWS\": \"arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>\"},\"Action\": \"sts:AssumeRole\"}]}"

O aplicativo de exemplo Lambda assume essa função com uma política de escopo para obter acesso baseado em inquilinos a um bucket do S3.

Criar uma política de função de aplicativo embutida.

Use um dos comandos a seguir AWS CLI para criar uma política do IAM. Forneça os <sample-app-bucket-name> valores <sample-app-role-name> e no comando.

Para shells no macOS ou Linux:

aws iam put-role-policy \
--role-name <sample-app-role-name> \
--policy-name s3-bucket-access \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": [
                "s3:PutObject", 
                "s3:GetObject", 
                "s3:DeleteObject"
            ], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>/*"
        }, 
        {
            "Effect": "Allow", 
            "Action": ["s3:ListBucket"], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>"
        }
    ]}'

Para a linha de comando do Windows:

aws iam put-role-policy ^
--role-name <sample-app-role-name> ^
--policy-name s3-bucket-access ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"s3:PutObject\", \"s3:GetObject\", \"s3:DeleteObject\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>/*\"}, {\"Effect\": \"Allow\", \"Action\": [\"s3:ListBucket\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>\"}]}"

Esta política é anexada ao perfil do aplicativo. Ela fornece amplo acesso aos objetos no bucket do S3. Quando o aplicativo de exemplo assume o perfil, essas permissões são atribuídas a um inquilino específico com a política gerada dinamicamente pela TVM.

Baixe os arquivos de origem compilados.

Baixe os arquivos s3UploadSample.jar e tvm-layer.zip, que estão incluídos como anexos. O código-fonte usado para criar esses artefatos e instruções de compilação são fornecidos em token-vending-machine-sample-app.zip.

Criar a camada do Lambda.

Use o AWS CLI comando a seguir para criar uma camada Lambda, que torna o TVM acessível ao Lambda. 

aws lambda publish-layer-version \
--layer-name sample-token-vending-machine \
--compatible-runtimes java11 \
--zip-file fileb://tvm-layer.zip

Para a linha de comando do Windows:

aws lambda publish-layer-version ^
--layer-name sample-token-vending-machine ^
--compatible-runtimes java11 ^
--zip-file fileb://tvm-layer.zip

Esse comando cria uma camada Lambda que contém a biblioteca TVM reutilizável.

Criar a função do Lambda.

Use o AWS CLI comando a seguir para criar uma função Lambda. Forneça os <sample-app-role-name> valores <sample-app-function-name> <AWS Account ID> <AWS Region><sample-tvm-role-name>,<sample-app-bucket-name>,,, e no comando. 

aws lambda create-function \
--function-name <sample-app-function-name>  \
--timeout 30 \
--memory-size 256 \
--runtime java11 \
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> \
--handler com.amazon.aws.s3UploadSample.App \
--zip-file fileb://s3UploadSample.jar \
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 \
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,
ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

Para a linha de comando do Windows:

aws lambda create-function ^
--function-name <sample-app-function-name>  ^
--timeout 30 ^
--memory-size 256 ^
--runtime java11 ^
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> ^
--handler com.amazon.aws.s3UploadSample.App ^
--zip-file fileb://s3UploadSample.jar ^
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 ^
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

Esse comando cria uma função do Lambda com o código do aplicativo de exemplo e a camada TVM anexada. Ele também define duas variáveis de ambiente: S3_BUCKET e ROLE. O aplicativo de exemplo usa essas variáveis para determinar a função a ser assumida e o bucket do S3 para o qual carregar documentos JSON.

Invocar o aplicativo de exemplo do Lambda.

Use um dos AWS CLI comandos a seguir para iniciar o aplicativo de amostra Lambda com a carga esperada. Forneça os <sample-tenant-name> valores <sample-app-function-name> e no comando.

Para shells no macOS ou Linux:

aws lambda invoke \
--function <sample-app-function-name> \
--invocation-type RequestResponse \
--payload '{"tenant": "<sample-tenant-name>"}' \
--cli-binary-format raw-in-base64-out response.json

Para a linha de comando do Windows:

aws lambda invoke ^
--function <sample-app-function-name> ^
--invocation-type RequestResponse ^
--payload "{\"tenant\": \"<sample-tenant-name>\"}" ^
--cli-binary-format raw-in-base64-out response.json

Esse comando chama a função do Lambda e retorna o resultado em um documento response.json. Em muitos sistemas baseados em Unix, você pode alterar response.json para /dev/stdout para enviar os resultados diretamente para o shell sem criar outro arquivo. 

Visualizar o bucket do S3 para ver os objetos criados.

Navegue até o bucket do S3 (<sample-app-bucket-name>) que você criou anteriormente. Esse bucket contém um prefixo de objeto do S3 com o valor de. <sample-tenant-name> Sob esse prefixo, você encontrará um documento JSON chamado com um UUID. Invocar o aplicativo de exemplo várias vezes adiciona mais documentos JSON.

Veja os registros do aplicativo de amostra em CloudWatch Logs.

Visualize os registros associados à função Lambda nomeada <sample-app-function-name> em CloudWatch Logs. Para obter instruções, consulte Enviar registros da função Lambda para CloudWatch Logs na documentação do Lambda. Você pode visualizar a política com escopo de inquilino gerada pela TVM nesses logs. Essa política com escopo de locatário concede permissões para o aplicativo de amostra para o Amazon S3 PutObject,,, e GetObjectDeleteObjectListBucket APIs, mas somente para o prefixo de objeto associado a. <sample-tenant-name> Nas invocações subsequentes do aplicativo de amostra, se você alterar<sample-tenant-name>, o TVM atualiza a política com escopo para corresponder ao inquilino fornecido na carga de invocação. Essa política gerada dinamicamente mostra como o acesso com escopo de inquilino pode ser mantido com uma TVM em aplicativos SaaS. 

A funcionalidade da TVM é fornecida em uma camada Lambda para que possa ser anexada a outras funções do Lambda usadas por um aplicativo sem precisar replicar o código.

Para obter uma ilustração da política gerada dinamicamente, consulte a seção Informações adicionais.