Utilisation de politiques basées sur les ressources dans Lambda

Grâce aux politiques d'autorisation basées sur les ressources, vous pouvez accorder à d'autres utilisateurs Comptes AWS, organisations et l' Services AWS accès à vos fonctions d'événement Lambda. Une politique basée sur les ressources est un document JSON qui contient une ou plusieurs instructions. Chaque déclaration définit les éléments suivants :

• Principal: L'entité à laquelle vous souhaitez accorder des autorisations (une autre Service AWS, un rôle ou un utilisateur IAM, ou autre Compte AWS)

• Action: liste des actions d'API que vous souhaitez autoriser ou refuser pour le principal spécifié

• Effect: si vous souhaitez autoriser ou refuser au principal la possibilité d'utiliser les actions d'API choisies

• Resource: la fonction, la version ou l'alias Lambda auxquels vous souhaitez appliquer l'instruction (vous pouvez également utiliser un caractère générique pour spécifier toutes les versions et alias de votre fonction)

Vous pouvez également utiliser des éléments facultatifs tels que Sid (un identifiant de déclaration) et Condition (des conditions logiques pour un contrôle d'accès précis). Pour obtenir la liste complète des éléments de stratégie pris en charge, reportez-vous à la référence des éléments de stratégie IAM JSON dans le guide de l'Gestion des identités et des accès AWS utilisateur.

Ajouter des autorisations basées sur les ressources à une fonction d'événement

Vous pouvez ajouter des autorisations basées sur les ressources à votre fonction Lambda à l'aide de deux méthodes :

• Politique JSON complète : utilisez la console Lambda ou l'action PutResourcePolicyAPI pour ajouter un document de politique JSON complet. AWS CLI Avec une politique JSON complète, vous pouvez utiliser la gamme complète des clés de condition globales IAM, ajouter plusieurs instructions avec plusieurs principes et créer des instructions explicitesDeny. La taille maximale d'une politique basée sur les ressources JSON est de 20 Ko.

• Autorisations individuelles : utilisez l'action de console ou d'AddPermissionAPI pour ajouter Allow des instructions uniques. Les autorisations individuelles ne prennent en charge qu'un ensemble limité de clés de condition (aws:SourceArnaws:SourceAccount, etaws:PrincipalOrgID).

Nous vous recommandons de définir des politiques JSON complètes pour ajouter des autorisations basées sur les ressources à votre fonction. La création d'une politique JSON complète vous donne plus de flexibilité et un contrôle précis de vos autorisations.

Important

L'utilisation put-resource-policy remplace toute politique basée sur les ressources existante sur la ressource. Si la ressource possède déjà des autorisations définies avecadd-permission, les put-resource-policy remplace. get-resource-policyÀ utiliser pour récupérer la politique existante avant d'apporter des modifications.

Autorisations requises

Pour utiliser les actionsPutResourcePolicy,GetResourcePolicy, et DeleteResourcePolicy API, vous devez disposer des autorisations IAM suivantes :

Action d’API	Autorisations requises
PutResourcePolicy	lambda:PutResourcePolicy, lambda:AddPermission et lambda:RemovePermission
GetResourcePolicy	lambda:GetResourcePolicy et lambda:GetPolicy
DeleteResourcePolicy	lambda:DeleteResourcePolicy et lambda:RemovePermission

Console

Pour créer une politique complète basée sur les ressources JSON

1. Ouvrez la page Event Functions de la console Lambda.

2. Sélectionnez la fonction à laquelle vous souhaitez autoriser l'accès, puis sélectionnez l'onglet Configuration.

3. Sélectionnez Autorisations.

4. Dans le volet des déclarations de Resource-based politique, choisissez Modifier. Cette action ouvre l'éditeur de politique JSON.

5. Ajoutez des instructions à la politique de votre fonction. Vous pouvez sélectionner des actions d'API, ajouter des principaux de différents types (services, comptes, rôles IAM) et ajouter des clés de condition pour contrôler l'accès.

6. Cliquez sur Enregistrer.

Vous pouvez également modifier la politique basée sur les ressources de votre fonction directement dans le volet Stratégie.

AWS CLI

Pour ajouter une politique complète basée sur les ressources JSON

Pour ajouter une politique JSON complète à votre fonction, utilisez la put-resource-policy AWS CLI commande.

L'exemple de commande suivant ajoute une politique basée sur les ressources à votre fonction à l'aide d'une politique définie dans un fichier nommé policy.json sur votre machine locale. Exécutez la commande depuis le répertoire qui contient le fichier. resource-arnVous pouvez spécifier une version ou un alias de fonction, ou vous pouvez utiliser l'ARN de la fonction non qualifiée pour appliquer la politique à l'ensemble de la fonction.

aws lambda put-resource-policy --resource-arn arn:aws:lambda:us-east-2:123456789012:function:my-function \
--policy file://policy.json

Lambda APIs

Pour ajouter une politique d'autorisation JSON complète à votre fonction, utilisez l'action PutResourcePolicyAPI. Vous pouvez également supprimer la politique d'une fonction à l'aide de l'DeleteResourcePolicyaction ou récupérer la politique actuellement attachée à une fonction à l'aide de l'GetResourcePolicyaction.

Pour ajouter des autorisations individuelles à la politique d'une fonction, utilisez l'action AddPermissionAPI.

Afficher la politique basée sur les ressources d'une fonction

Console

Pour afficher la stratégie basée sur les ressources d’une fonction

1. Ouvrez la page Event Functions de la console Lambda.

2. Choisissez une fonction.

3. Sélectionnez Configuration (Configuration), puis Permissions (Autorisations).

4. Faites défiler la page jusqu'aux déclarations de Resource-based politique pour voir la politique.

AWS CLI

Pour afficher une stratégie basée sur les ressources d’une fonction, utilisez la commande get-resource-policy. Vous pouvez utiliser l'ARN non qualifié de votre fonction ou spécifier une version ou un alias.

aws lambda get-resource-policy --resource-arn arn:aws:lambda:us-east-2:123456789012:function:my-function

Vous pouvez également utiliser la get-policy commande :

aws lambda get-policy \
  --function-name my-function \
  --output text

Lambda APIs

Pour récupérer la politique basée sur les ressources d'une fonction, utilisez l'action GetResourcePolicyAPI. Vous pouvez utiliser l'ARN non qualifié de votre fonction ou spécifier une version ou un alias ARN.

Vous pouvez également utiliser l'action GetPolicyAPI.

Supprimer la politique basée sur les ressources d'une fonction

Console

Pour supprimer la politique basée sur les ressources d'une fonction

1. Ouvrez la page Event Functions de la console Lambda.

2. Sélectionnez la fonction pour laquelle vous souhaitez supprimer la politique d'autorisation.

3. Sélectionnez l'onglet Configuration, puis Autorisations.

4. Dans le volet des déclarations de Resource-based politique, choisissez Supprimer.

AWS CLI

Pour supprimer la politique de votre fonction, utilisez la delete-resource-policy commande et spécifiez l'ARN de la fonction, de la version ou de l'alias dont vous souhaitez supprimer la politique.

aws lambda delete-resource-policy --resource-arn arn:aws:lambda:us-east-2:123456789012:function:my-function

Pour supprimer des déclarations individuelles, utilisezremove-permission.

aws lambda remove-permission \
  --function-name example \
  --statement-id sns

Lambda APIs

Pour supprimer la politique basée sur les ressources attachée à une fonction, à une version de fonction ou à un alias de fonction, utilisez l'action DeleteResourcePolicyAPI.

Pour supprimer des instructions individuelles d'une politique, utilisez l'action RemovePermissionAPI.

Mettre à jour les politiques existantes

Lorsque vous mettez à jour les autorisations basées sur les ressources existantes d'une fonction, le comportement dépend de la méthode que vous utilisez :

• put-resource-policy/PutResourcePolicy— Remplace l'intégralité de la politique existante. Toutes les autorisations individuelles précédemment ajoutées sont remplacées.

• add-permission/AddPermission— Ajoute une instruction à la politique existante sans la remplacer. Si vous appelez add-permission aprèsput-resource-policy, la nouvelle instruction s'ajoute à la politique JSON existante.

Pour éviter de remplacer involontairement les autorisations existantes lors de l'utilisationput-resource-policy, récupérez d'abord la politique existante de votre fonction. La get-resource-policy sortie inclut un RevisionId champ.

aws lambda get-resource-policy --resource-arn arn:aws:lambda:us-east-2:123456789012:function:my-function

Lorsque vous attachez une nouvelle politique, indiquez la RevisionId valeur avec le --revision-id paramètre pour vous assurer que vous mettez à jour la dernière version. Si vous fournissez un ancien ID de révision, Lambda ne met pas à jour la politique de votre fonction.

aws lambda put-resource-policy \
  --resource-arn arn:aws:lambda:us-east-2:123456789012:function:my-function \
  --policy file://policy.json \
  --revision-id a1b2c3d4-5678-90ab-cdef-EXAMPLE11111

Note

Les politiques basées sur les ressources existantes créées avec AddPermission continuent de fonctionner sans modification. Aucune modification de votre code de fonction n'est requise pour utiliser la nouvelle PutResourcePolicy API.

Bonnes pratiques de sécurité

Avec les politiques basées sur les ressources JSON, vous pouvez suivre des modèles d'accès avec le moindre privilège. Vous pouvez également satisfaire aux exigences réglementaires relatives aux refus explicites. Avec des politiques JSON complètes, vous pouvez :

• Créez des Deny déclarations explicites pour bloquer des principes ou des conditions spécifiques.

• Utilisez les conditions organisationnelles (aws:PrincipalOrgID,aws:PrincipalOrgPaths) pour restreindre l'accès à vos organisations sans énumérer les comptes individuels.

• Élargissez les autorisations à des comptes sources ou à des ARN spécifiques à l'aide de la gamme complète de clés de condition globales IAM.

Exemples de politiques basées sur les ressources

Exemple Octroi d'une autorisation à Amazon S3 avec une déclaration de refus

La politique suivante accorde à tous les compartiments Amazon S3 d'un compte l'autorisation d'invoquer une fonction, à l'exception d'un compartiment explicitement refusé.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "allow-s3",
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "lambda:InvokeFunction",
            "Resource": "arn:aws:lambda:us-east-2:111122223333:function:my-function",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "deny-s3-bucket",
            "Effect": "Deny",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "lambda:InvokeFunction",
            "Resource": [
                "arn:aws:lambda:us-east-2:111122223333:function:my-function",
                "arn:aws:lambda:us-east-2:111122223333:function:my-function:*"
            ],
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3:::amzn-s3-demo-bucket"
                }
            }
        }
    ]
}

Exemple Octroi d'autorisations aux comptes d'une organisation

La politique suivante accorde un accès invoqué à tous Comptes AWS les membres d'une organisation.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "org-access",
            "Effect": "Allow",
            "Action": "lambda:InvokeFunction",
            "Principal": "*",
            "Resource": "arn:aws:lambda:us-east-2:111122223333:function:my-function",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-a1b2c3d4e5f"
                }
            }
        }
    ]
}

Exemple Octroi d'autorisations à plusieurs rôles IAM sous certaines conditions

La politique suivante autorise deux rôles IAM à utiliser l' CreateAlias action à partir d'une adresse IP spécifiée.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "allow-roles",
            "Effect": "Allow",
            "Action": "lambda:CreateAlias",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::444455556666:role/role-name",
                    "arn:aws:iam::444455556666:role/role-name2"
                ]
            },
            "Resource": "arn:aws:lambda:us-east-2:111122223333:function:my-function",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "192.0.2.0"
                }
            }
        }
    ]
}

Exemple Refuser l'accès à moins que l'appelant ne fasse partie d'une organisation spécifiée

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "deny-access",
            "Effect": "Deny",
            "Action": "lambda:InvokeFunction",
            "Principal": "*",
            "Resource": "arn:aws:lambda:us-east-2:111122223333:function:my-function",
            "Condition": {
                "ForAllValues:StringNotLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/*"
                    ]
                }
            }
        },
        {
            "Sid": "allow-access",
            "Effect": "Allow",
            "Action": "lambda:InvokeFunction",
            "Principal": "*",
            "Resource": "arn:aws:lambda:us-east-2:111122223333:function:my-function",
            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/*"
                    ]
                }
            }
        }
    ]
}

Actions d’API prises en charge

Les actions de l’API Lambda suivantes prennent en charge les politiques basées sur les ressources :

• CreateAlias

• DeleteAlias

• DeleteFunction

• DeleteFunctionConcurrency

• DeleteFunctionEventInvokeConfig

• DeleteProvisionedConcurrencyConfig

• GetAlias

• GetFunction

• GetFunctionConcurrency

• GetFunctionConfiguration

• GetFunctionEventInvokeConfig

• GetPolicy

• GetProvisionedConcurrencyConfig

• Invoke

• InvokeFunctionUrl(autorisation uniquement)

• ListAliases

• ListFunctionEventInvokeConfigs

• ListProvisionedConcurrencyConfigs

• ListTags

• ListVersionsByFunction

• PublishVersion

• PutFunctionConcurrency

• PutFunctionEventInvokeConfig

• PutProvisionedConcurrencyConfig

• TagResource

• UntagResource

• UpdateAlias

• UpdateFunctionCode

• UpdateFunctionEventInvokeConfig