翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Lambda でのコード署名の設定

AWS Lambda でコード署名を使用すると、信頼できるコードのみを Lambda 関数で実行するようにできます。関数のコード署名を有効にすると、デプロイされたすべてのコードが Lambda によりチェックされ、コードパッケージが信頼できるソースによって署名されていることを確認できます。

コードの整合性を検証するには、AWS Signer を使用して、関数とレイヤーのために、デジタル署名されたコードパッケージを作成します。ユーザーがコードパッケージのデプロイを試みると、そのデプロイが受け入られる前に、コードパッケージの検証チェックが Lambda により実行されます。コード署名の検証チェックはデプロイ時に実行されるため、関数の実行時には、パフォーマンスへの影響はありません。

AWS Signer を使用すると、署名プロファイルを作成することもできます。署名付きコードパッケージを作成するには、署名プロファイルを使用します。コードパッケージに署名できるユーザーを制御し、署名プロファイルを作成するには、AWS Identity and Access Management (IAM) を使用します。詳細については、AWS Signer デベロッパーガイドの「認証とアクセスコントロール」を参照してください。

関数でコード署名を有効にするには、コード署名の設定を作成し、その設定を関数にアタッチします。コード署名の設定では、許可済みの署名プロファイルのリストと、検証チェックが失敗した場合に実行するポリシーアクションを定義します。

Lambda のレイヤーは、関数のコードパッケージと同じ形式の、署名付きのコードパッケージに従います。コード署名が有効化された関数にユーザーがレイヤーを追加すると、そのレイヤーが許可された署名プロファイルによって署名されていることを Lambda がチェックします。関数に対してコード署名を有効にする場合、関数に追加されるすべてのレイヤーも、許可された署名プロファイルの 1 つによって署名されている必要があります。

IAM を使用して、コード署名の設定を作成できるユーザーを制御します。通常、このための権限は、特定の管理者ユーザーのみに付与します。さらに、コード署名が有効化された関数のみをデベロッパーが作成できるようにする IAM ポリシーを設定できます。

AWS CloudTrail への変更を記録するようにコード署名を構成できます。関数の成功したデプロイとブロックされたデプロイが、署名と検証チェックに関する情報とともに CloudTrail に記録されます。

関数のコード署名の設定には、Lambda コンソール、AWS Command Line Interface (AWS CLI)、AWS CloudFormation、AWS Serverless Application Model (AWS SAM) を使用します。

AWS での AWS Lambda Signer またはコード署名の使用には、追加料金は必要ありません。

署名の検証

ユーザーが署名付きコードパッケージを関数にデプロイすると、Lambda により次の検証チェックが実行されます。

コード署名の設定で定義されている署名検証ポリシーによって、検証チェックが失敗した場合に、次のアクションのうちどれが Lambda により実行されるかが決定されます。

有効期限、不一致、および失効の各検証チェックのためにポリシーを設定できます。整合性検証には、ポリシーを構成できないことに注意してください。整合性のチェックが失敗した場合は、Lambda がデプロイをブロックします。

構成の前提条件

Lambda 関数用のコード署名を設定する前に、AWS Signer を使用して次の操作を実行します。

詳細については、AWS Signer デベロッパーガイドの 「署名プロファイルの (コンソールでの) 作成」を参照してください。

コード署名の設定を作成する

コード署名の設定では、許可された署名プロファイルと署名検証ポリシーのリストを定義します。

コード署名の設定を更新する

コード署名の設定を更新すると、その設定がアタッチされている関数で行われる、将来のデプロイに対し内容が反映されます。

コード署名の設定を削除する

コード署名の設定を削除できるのは、その設定が、いずれの関数でも使用されていない場合のみです。

関数のコード署名を有効化する

関数のコード署名を有効にするには、コード署名の設定を関数に関連付けます。

IAM ポリシーの設定

コード署名 API オペレーションにアクセスする権限をユーザーに付与するには、1 つ以上のポリシーステートメントを、そのユーザーのポリシーにアタッチします。ユーザーポリシーの詳細については、「」を参照してくださいLambda のアイデンティティベースの IAM ポリシー

次に示すポリシーステートメントの例では、コード署名の設定を作成、更新、および取得するためのアクセス権限を付与しています。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
          "lambda:CreateCodeSigningConfig",
          "lambda:UpdateCodeSigningConfig",
          "lambda:GetCodeSigningConfig"
        ],
      "Resource": "*" 
    }
  ]
} 

管理者は、CodeSigningConfigArn 条件キーを使用して、デベロッパーが関数を作成または更新する際に必要となる、コード署名の設定を指定できます。

次に示すポリシーステートメントの例では、関数を作成するための権限を付与しています。ポリシーステートメントには、許可されるコード署名設定を指定する lambda:CodeSigningConfigArn 条件を含めます。CodeSigningConfigArn パラメータが欠如しているか、条件の値と一致しない場合、Lambda はすべての CreateFunction API リクエストをブロックします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReferencingCodeSigningConfig",
      "Effect": "Allow",
      "Action": [
          "lambda:CreateFunction",
        ],
      "Resource": "*",
      "Condition": {
          "StringEquals": {
              "lambda:CodeSigningConfigArn":  
                  “arn:aws:lambda:us-west-2:123456789012:code-signing-config:csc-0d4518bd353a0a7c6”
          }
      }
    }
  ]
} 

Lambda API を使用したコード署名の設定

AWS CLIまたは AWS SDK でコード署名の設定を管理するには、次の API オペレーションを使用します。

関数のためにコード署名の設定を管理するには、次の API オペレーションを使用します。