使用 AWS Lambda 字符販賣機實作 Amazon S3 的 SaaS 租用戶隔離

判斷變數值。

此模式的實作包含數個必須一致使用的變數名稱。決定應該用於每個變數的值，並在後續步驟中請求時提供該值。

為範例應用程式建立 S3 儲存貯體。

使用下列 AWS CLI 命令來建立 S3 儲存貯體。在程式碼片段中提供 <sample-app-bucket-name>值：

aws s3api create-bucket --bucket <sample-app-bucket-name>

Lambda 範例應用程式會將 JSON 檔案上傳至此儲存貯體。

建立 TVM 角色。

使用下列其中一個 AWS CLI 命令來建立 IAM 角色。在 命令中提供 <sample-tvm-role-name>值。

對於 macOSor Linux shell：

aws iam create-role \
--role-name <sample-tvm-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com"
                ]
            },
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<AWS Account ID>"
                }
            }
        }
    ]
}'

對於 Windows 命令列：

aws iam create-role ^
--role-name <sample-tvm-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"sts:AssumeRole\"], \"Principal\": {\"Service\": [\"lambda.amazonaws.com\"]}, \"Condition\": {\"StringEquals\": {\"aws:SourceAccount\": \"<AWS Account ID>\"}}}]}"

Lambda 範例應用程式會在叫用應用程式時擔任此角色。使用範圍政策擔任應用程式角色的功能為程式碼提供更廣泛存取 S3 儲存貯體的許可。

建立內嵌 TVM 角色政策。

使用下列其中一個 AWS CLI 命令來建立 IAM 政策。在命令中提供 <sample-tvm-role-name><AWS Account ID>、 和 <sample-app-role-name>值。

對於 macOS 或 Linux shell：

aws iam put-role-policy \
--role-name <sample-tvm-role-name> \
--policy-name assume-app-role \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": "sts:AssumeRole", 
            "Resource": "arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>"
        }
    ]}'

對於 Windows 命令列：

aws iam put-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-name assume-app-role ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": \"sts:AssumeRole\", \"Resource\": \"arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>\"}]}"

此政策會連接至 TVM 角色。它為程式碼提供擔任應用程式角色的能力，其具有更廣泛存取 S3 儲存貯體的許可。

連接 受管 Lambda 政策。

使用下列 AWS CLI 命令來連接AWSLambdaBasicExecutionRole IAM 政策。在 命令中提供 <sample-tvm-role-name>值：

aws iam attach-role-policy \
--role-name <sample-tvm-role-name> \
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

對於 Windows 命令列：

aws iam attach-role-policy ^
--role-name <sample-tvm-role-name> ^
--policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

此受管政策會連接至 TVM 角色，以允許 Lambda 將日誌傳送至 Amazon CloudWatch。

建立應用程式角色。

使用下列其中一個 AWS CLI 命令來建立 IAM 角色。在命令中提供 <sample-app-role-name>、 <AWS Account ID>和 <sample-tvm-role-name>值。

對於 macOS 或 Linux shell：

aws iam create-role \
--role-name <sample-app-role-name> \
--assume-role-policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": 
            "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>"
            },
            "Action": "sts:AssumeRole"
        }
    ]}'

對於 Windows 命令列：

aws iam create-role ^
--role-name <sample-app-role-name> ^
--assume-role-policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\",\"Principal\": {\"AWS\": \"arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name>\"},\"Action\": \"sts:AssumeRole\"}]}"

Lambda 範例應用程式會使用範圍政策擔任此角色，以取得 S3 儲存貯體的租戶型存取權。

建立內嵌應用程式角色政策。

使用下列其中一個 AWS CLI mmands 來建立 IAM 政策。在 命令中提供 <sample-app-role-name>和 <sample-app-bucket-name>值。

對於 macOS 或 Linux shell：

aws iam put-role-policy \
--role-name <sample-app-role-name> \
--policy-name s3-bucket-access \
--policy-document '{
    "Version": "2012-10-17",		 	 	  
    "Statement": [
        {
            "Effect": "Allow", 
            "Action": [
                "s3:PutObject", 
                "s3:GetObject", 
                "s3:DeleteObject"
            ], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>/*"
        }, 
        {
            "Effect": "Allow", 
            "Action": ["s3:ListBucket"], 
            "Resource": "arn:aws:s3:::<sample-app-bucket-name>"
        }
    ]}'

對於 Windows 命令列：

aws iam put-role-policy ^
--role-name <sample-app-role-name> ^
--policy-name s3-bucket-access ^
--policy-document "{\"Version\": \"2012-10-17\", \"Statement\": [{\"Effect\": \"Allow\", \"Action\": [\"s3:PutObject\", \"s3:GetObject\", \"s3:DeleteObject\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>/*\"}, {\"Effect\": \"Allow\", \"Action\": [\"s3:ListBucket\"], \"Resource\": \"arn:aws:s3:::<sample-app-bucket-name>\"}]}"

此政策會連接至應用程式角色。它提供對 S3 儲存貯體中物件的廣泛存取。當範例應用程式擔任角色時，這些許可的範圍會限定為具有 TVM 動態產生政策的特定租用戶。

下載編譯的來源檔案。

下載 s3UploadSample.jar和 tvm-layer.zip檔案，其中包含為附件。中提供了用於建立這些成品和編譯函數的原始程式碼token-vending-machine-sample-app.zip。

建立 Lambda 層。

使用下列 AWS CLI 命令來建立 Lambda 層，讓 Lambda 可存取 TVM。 

aws lambda publish-layer-version \
--layer-name sample-token-vending-machine \
--compatible-runtimes java11 \
--zip-file fileb://tvm-layer.zip

對於 Windows 命令列：

aws lambda publish-layer-version ^
--layer-name sample-token-vending-machine ^
--compatible-runtimes java11 ^
--zip-file fileb://tvm-layer.zip

此命令會建立包含可重複使用 TVM 程式庫的 Lambda 層。

建立 Lambda 函數。

使用下列 AWS CLI 命令來建立 Lambda 函數。在命令中提供 <sample-app-function-name>、<AWS Account ID>、<sample-app-bucket-name>、、 <AWS Region> <sample-tvm-role-name>和 <sample-app-role-name>值。 

aws lambda create-function \
--function-name <sample-app-function-name>  \
--timeout 30 \
--memory-size 256 \
--runtime java11 \
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> \
--handler com.amazon.aws.s3UploadSample.App \
--zip-file fileb://s3UploadSample.jar \
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 \
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,
ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

對於 Windows 命令列：

aws lambda create-function ^
--function-name <sample-app-function-name>  ^
--timeout 30 ^
--memory-size 256 ^
--runtime java11 ^
--role arn:aws:iam::<AWS Account ID>:role/<sample-tvm-role-name> ^
--handler com.amazon.aws.s3UploadSample.App ^
--zip-file fileb://s3UploadSample.jar ^
--layers arn:aws:lambda:<AWS Region>:<AWS Account ID>:layer:sample-token-vending-machine:1 ^
--environment "Variables={S3_BUCKET=<sample-app-bucket-name>,ROLE=arn:aws:iam::<AWS Account ID>:role/<sample-app-role-name>}"

此命令會建立連接範例應用程式程式碼和 TVM layer 的 Lambda 函數。它也會設定兩個環境變數： S3_BUCKET和 ROLE。範例應用程式使用這些變數來決定要擔任的角色，以及要上傳 JSON 文件的 S3 儲存貯體。

叫用 Lambda 範例應用程式。

使用下列其中一個 AWS CLI 命令，以其預期的承載啟動 Lambda 範例應用程式。在 命令中提供 <sample-app-function-name>和 <sample-tenant-name>值。

對於 macOS 和 Linux shell：

aws lambda invoke \
--function <sample-app-function-name> \
--invocation-type RequestResponse \
--payload '{"tenant": "<sample-tenant-name>"}' \
--cli-binary-format raw-in-base64-out response.json

對於 Windows 命令列：

aws lambda invoke ^
--function <sample-app-function-name> ^
--invocation-type RequestResponse ^
--payload "{\"tenant\": \"<sample-tenant-name>\"}" ^
--cli-binary-format raw-in-base64-out response.json

此命令會呼叫 Lambda 函數，並在response.json文件中傳回結果。在許多以 Unix 為基礎的系統上，您可以將 response.json 變更為 /dev/stdout，直接將結果輸出到您的 Shell，而無需建立另一個檔案。 

檢視 S3 儲存貯體以查看建立的物件。

瀏覽至您先前建立的 S3 儲存貯體 (<sample-app-bucket-name>)。此儲存貯體包含值為 的 S3 物件字首<sample-tenant-name>。在此字首下，您會找到名為 且具有 UUID 的 JSON 文件。多次叫用範例應用程式會新增更多 JSON 文件。

在 CloudWatch Logs 中檢視範例應用程式的日誌。

檢視與 CloudWatch Logs <sample-app-function-name>中名為 的 Lambda 函數相關聯的日誌。如需說明，請參閱 Lambda 文件中的將 Lambda 函數日誌傳送至 CloudWatch Logs。您可以在這些日誌中檢視 TVM 產生的租戶範圍政策。此租用戶範圍政策將範例應用程式的許可授予 Amazon S3 PutObject、GetObject、DeleteObject 和 ListBucket APIs，但僅適用於與 相關聯的物件字首<sample-tenant-name>。在範例應用程式的後續調用中，如果您變更 <sample-tenant-name>，TVM 會更新範圍政策，以對應調用承載中提供的租用戶。此動態產生的政策顯示如何在 SaaS 應用程式中使用 TVM 維護租戶範圍存取。 

TVM 功能是在 Lambda 層中提供，因此可以連接到應用程式使用的其他 Lambda 函數，而不必複寫程式碼。

如需動態產生政策的圖例，請參閱其他資訊一節。