Как можно назначить политику ресурсу AWS?

В определении политики aws запись участника имеет значение как пользователь, группа или роль, но не как ресурс AWS (например, EC2, бессерверная лямбда и т. Д.)

Изменить:

Я не уверен, говорим ли мы здесь об одном и том же объекте на языке политики AWS JSON. Политика может быть одного из типов: (а) политика на основе идентичности, (б) политика доверия или (в) политика на основе ресурсов. [2]

В документации указано, что «вы не можете использовать элемент Principal в политике на основе идентификации IAM». [2] Lambda обычно использует два других типа политик: политику доверия для роли исполнения и политику на основе ресурсов для доступа между аккаунтами и доступа из других сервисов AWS. [6]
Однако есть также возможность использовать политики на основе идентификации с Lambda. [7]
В этом случае вы не указываете Принципал, поскольку «принципал неявно является пользователем, к которому привязана политика» [2].

Пример:

В концепции AWS IAM Принципал роли также может быть сервисом AWS - это так называемые сервисные роли [1]. [2]
Чтобы установить Lambda в качестве принципала, вы установите следующее как AssumeRolePolicyDocument (политика доверия):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

В блоге по безопасности AWS есть пошаговый пример, в котором показано, как вручную создать роль выполнения для лямбда-функции. [3]

Как можно назначить политику ресурсу AWS (лямбда)?

Политика назначается исполняющей роли Lambda. Затем функция принимает роль во время выполнения и получает разрешение на основе всех политик, назначенных роли выполнения. [4]

но я вижу свойство Policies как часть определения ресурса

SAM может создать для вас роль выполнения лямбда-выражения и автоматически назначить ей политики. Разработчики SAM предоставляют так называемые шаблоны политики AWS SAM [5], на которые вы можете ссылаться в своем шаблоне SAM. Используя эти шаблоны политик, вы даете команду SAM создать для вас политику и автоматически присоединить ее к роли выполнения.

использованная литература

[1] https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role
[2] https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_tml / a > (раздел «Сервис AWS»)
[3] https://aws.amazon.com/de/blogs/security/how-to-create-an-aws-iam-policy-to-grant-aws-lambda-access-to-an-amazon-Dynamodb-table/
[4] https://docs.aws.amazon.com/lambda/latest/dg/lambda-intro-execution-role.html
[5] https://docs.aws.amazon.com/serverless-application-model/latest/developerguide/serverless-policy-templates.html
[6] https://docs.aws.amazon.com/lambda/latest/dg/access-control-resource-based.html
[7] https://docs.aws.amazon.com/lambda/latest/dg/access-control-identity-based.html

Когда вы определяете бессерверную функцию, SAM автоматически создает роль IAM, необходимую для запуска функции. Допустим, вашей функции требуется доступ к нескольким таблицам DynamoDB, вам необходимо предоставить вашей функции явные разрешения на доступ к таблицам. Вы можете сделать это, добавив AWS Managed Policies в определение ресурса бессерверной функции в шаблоне SAM.

Ссылка:

https://github.com/awslabs/serverless-application-model/blob/master/docs/policy_templates.rst