View a markdown version of this page

Menggunakan penandatanganan kode untuk memverifikasi integritas kode dengan Lambda - AWS Lambda
Validasi tanda tangan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan penandatanganan kode untuk memverifikasi integritas kode dengan Lambda

Penandatanganan kode membantu memastikan bahwa hanya kode tepercaya yang digunakan untuk fungsi Lambda Anda. Dengan menggunakan AWS Signer, Anda dapat membuat paket kode yang ditandatangani secara digital untuk fungsi Anda. Saat Anda menambahkan konfigurasi penandatanganan kode ke fungsi, Lambda memverifikasi bahwa semua penerapan kode baru ditandatangani oleh sumber tepercaya. Karena pemeriksaan validasi penandatanganan kode dijalankan pada waktu penerapan, tidak ada dampak pada eksekusi fungsi. Untuk informasi tentang mengelola kebijakan penandatanganan kode, lihatMengonfigurasi kebijakan IAM untuk konfigurasi penandatanganan kode Lambda.

penting

Konfigurasi penandatanganan kode hanya mencegah penerapan baru kode yang tidak ditandatangani. Jika Anda menambahkan konfigurasi penandatanganan kode ke fungsi yang ada yang memiliki kode yang tidak ditandatangani, kode tersebut akan terus berjalan sampai Anda menerapkan paket kode baru.

Saat Anda mengaktifkan penandatanganan kode untuk suatu fungsi, setiap lapisan yang Anda tambahkan ke fungsi juga harus ditandatangani oleh profil penandatanganan yang diizinkan.

Tidak ada biaya tambahan untuk penggunaan AWS Signer atau penandatanganan kode AWS Lambda.

Validasi tanda tangan

Lambda melakukan pemeriksaan validasi berikut saat Anda men-deploy paket kode yang ditandatangani ke fungsi Anda:

  1. Integritas: Memvalidasi bahwa paket kode belum dimodifikasi sejak ditandatangani. Lambda membandingkan hash paket dengan hash dari tanda tangan.

  2. Kedaluwarsa: Memvalidasi bahwa tanda tangan paket kode belum kedaluwarsa.

  3. Ketidakcoco kan: Memvalidasi bahwa paket kode ditandatangani dengan profil penandatanganan yang diizinkan

  4. Pencab utan: Memvalidasi bahwa tanda tangan paket kode belum dicabut.

Saat membuat konfigurasi penandatanganan kode, Anda dapat menggunakan UntrustedArtifactOnDeployment parameter untuk menentukan bagaimana Lambda harus merespons jika pemeriksaan kedaluwarsa, ketidakcocokan, atau pencabutan gagal. Anda dapat memilih salah satu dari tindakan ini:

  • Warn: Ini adalah pengaturan default. Lambda memungkinkan penyebaran paket kode, tetapi mengeluarkan peringatan. Lambda mengeluarkan CloudWatch metrik Amazon baru (SignatureValidationErrors) dan juga menyimpan peringatan di CloudTrail log.

  • EnforceLambda mengeluarkan peringatan (sama seperti untuk Warn tindakan) dan memblokir penyebaran paket kode.

Topik