Kemampuan Aplikasi: Peran IAM, Kebijakan Sumber Daya, dan Aplikasi Bersarang

Sebelum Anda dapat menerapkan aplikasi,AWS Serverless Application Repository memeriksa template aplikasi untuk peran IAM, kebijakanAWS sumber daya, dan aplikasi bersarang yang ditetapkan template yang harus dibuat. Sumber daya IAM, seperti peran IAM dengan akses penuh, dapat memodifikasi sumber daya apa pun diAWS akun Anda. Oleh karena itu, kami menyarankan Anda meninjau izin yang terkait dengan aplikasi sebelum melanjutkan sehingga Anda tidak secara tidak sengaja membuat sumber daya dengan izin yang ditingkatkan. Untuk memastikan bahwa Anda telah melakukannya, Anda harus mengakui bahwa aplikasi berisi kemampuan sebelumAWS Serverless Application Repository dapat menerapkan aplikasi atas nama Anda.

Aplikasi dapat berisi salah satu dari empat kemampuan berikut:CAPABILITY_IAM,CAPABILITY_NAMED_IAM,CAPABILITY_RESOURCE_POLICY, danCAPABILITY_AUTO_EXPAND.

Sumber daya berikut mengharuskan Anda untuk menentukanCAPABILITY_IAM atauCAPABILITY_NAMED_IAM: AWS::IAM::Group, AWS::IAM::InstanceProfile, AWS::IAM::Policy, dan AWS::IAM::Role. Jika aplikasi berisi IAM dengan nama kustom, Anda harus menentukanCAPABILITY_NAMED_IAM. Untuk contoh cara menentukan kemampuan, lihatMenemukan dan Mengakui Kemampuan Aplikasi (AWS CLI).

Sumber daya berikut mengharuskan Anda untuk menentukanCAPABILITY_RESOURCE_POLICY: AWS::Lambda::LayerVersionIzin AWS::Lambda::Permission, AWS::Events::EventBusKebijakan, AWS: :IAM:Policy AWS::ApplicationAutoScaling::ScalingPolicy, AWS::S3::BucketPolicy,, AWS::SQS::QueuePolicy, dan AWS::SNS::TopicPolicy.

Aplikasi yang berisi satu atau beberapa aplikasi bersarang mengharuskan Anda untuk menentukanCAPABILITY_AUTO_EXPAND. Untuk informasi selengkapnya tentang aplikasi bersarang, lihat Aplikasi Bersarang di PanduanAWS Serverless Application Model Pengembang.

Menemukan dan Mengakui Kemampuan Aplikasi (Konsol)

Anda dapat menemukan aplikasi yang tersediaAWS Serverless Application Repository di AWS Serverless Application Repositorysitus web, atau melalui konsol Lambda (pada halaman Buat Fungsi di bawahAWS Serverless Application Repository tab).

Aplikasi yang memerlukan pengakuan kemampuan untuk membuat peran IAM kustom atau kebijakan sumber daya tidak ditampilkan dalam hasil pencarian secara default. Untuk menelusuri aplikasi yang berisi kemampuan ini, Anda harus memilih kotak centang Tampilkan aplikasi yang membuat IAM role khusus atau kebijakan sumber daya.

Anda dapat meninjau kemampuan aplikasi di bawah tab Izin saat Anda memilih aplikasi. Untuk menyebarkan aplikasi, Anda perlu memilih Saya mengakui aplikasi ini menciptakan peran IAM kustom atau kebijakan sumber daya kotak centang. Jika Anda tidak mengakui kemampuan ini, Anda melihat pesan galat ini: Pengakuan diperlukan. Untuk menyebarkan, centang kotak di bagian Konfigurasikan parameter aplikasi.

Melihat Kemampuan Aplikasi (AWS CLI)

Untuk melihat kemampuan aplikasi menggunakan aplikasiAWS CLI, Anda memerlukan Amazon Resource Name (ARN). Anda kemudian dapat jalankan perintah berikut ini:

aws serverlessrepo get-application \
--application-id application-arn

Properti respons requiredCapabilities berisi daftar kemampuan aplikasi yang perlu Anda akui sebelum Anda dapat menyebarkan aplikasi. Perhatikan bahwa jika properti requiredCapabilities kosong, aplikasi tidak memiliki kemampuan yang diperlukan.