AWS Lambda のアクション、リソース、および条件キー

AWS Lambda (サービスプレフィックス: lambda) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

リファレンス:

• このサービスを設定する方法について説明します。

• このサービスで使用できる API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法について説明します。

AWS Lambda で定義されるアクション

IAM ポリシーステートメントの Action要素で次のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれている場合は、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AddLayerVersionPermission	AWS Lambda レイヤーのバージョンのリソースベースのポリシーにアクセス許可を追加するアクセス許可を付与します	権限の管理	layerVersion*
AddPermission	AWS Lambda 関数を使用するアクセス許可を AWS サービスまたは別のアカウントに付与するアクセス許可を付与します	権限の管理	function*
				lambda:Principal lambda:FunctionUrlAuthType
CreateAlias	Lambda 関数バージョンのエイリアスを作成する許可を付与。	書き込み	function*
CreateCodeSigningConfig	AWS Lambda コード署名設定を作成する許可を付与	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateEventSourceMapping	イベントソースと AWS Lambda 関数間のマッピングを作成するアクセス許可を付与します	書き込み		lambda:FunctionArn aws:RequestTag/${TagKey} aws:TagKeys
CreateFunction	AWS Lambda 関数を作成する許可を付与	書き込み	function*		iam:PassRole
				lambda:Layer lambda:VpcIds lambda:SubnetIds lambda:SecurityGroupIds lambda:CodeSigningConfigArn aws:RequestTag/${TagKey} aws:TagKeys
CreateFunctionUrlConfig	Lambda 関数の関数 URL 設定を作成するアクセス許可を付与	書き込み	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
DeleteAlias	AWS Lambda 関数エイリアスを削除するアクセス許可を付与します	書き込み	function*
DeleteCodeSigningConfig	AWS Lambda コード署名設定を削除する許可を付与	書き込み	code signing config*
DeleteEventSourceMapping	AWS Lambda イベントソースマッピングを削除する許可を付与	書き込み	eventSourceMapping*
				lambda:FunctionArn
DeleteFunction	AWS Lambda 関数を削除する許可を付与	書き込み	function*
DeleteFunctionCodeSigningConfig	AWS Lambda 関数からコード署名設定をデタッチする許可を付与	書き込み	function*
DeleteFunctionConcurrency	AWS Lambda 関数から同時実行制限を削除するアクセス許可を付与します	書き込み	function*
DeleteFunctionEventInvokeConfig	AWS Lambda 関数、バージョン、またはエイリアスの非同期呼び出しの設定を削除するアクセス許可を付与します	書き込み	function*
DeleteFunctionUrlConfig	Lambda 関数の関数 URL 設定を削除するアクセス許可を付与	書き込み	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
DeleteLayerVersion	AWS Lambda レイヤーのバージョンを削除するアクセス許可を付与します	書き込み	layerVersion*
DeleteProvisionedConcurrencyConfig	AWS Lambda 関数のプロビジョニングされた同時実行設定を削除する許可を付与	書き込み	function alias
			function version
DisableReplication[アクセス許可のみ]	Lambda@Edge 関数のレプリケーションを無効にする許可を付与。	Permissions management	function*
EnableReplication[アクセス許可のみ]	Lambda@Edge 関数のレプリケーションを有効にする許可を付与。	権限の管理	function*
GetAccountSettings	アカウントの の制限と使用状況に関する詳細を表示するアクセス許可を付与します AWS リージョン	読み取り
GetAlias	AWS Lambda 関数エイリアスの詳細を表示するアクセス許可を付与します	読み取り	function*
GetCodeSigningConfig	AWS Lambda コード署名設定の詳細を表示するアクセス許可を付与します	読み取り	code signing config*
GetEventSourceMapping	AWS Lambda イベントソースマッピングの詳細を表示する許可を付与	読み取り	eventSourceMapping*
				lambda:FunctionArn
GetFunction	AWS Lambda 関数の詳細を表示するアクセス許可を付与します	読み取り	function*
GetFunctionCodeSigningConfig	AWS Lambda 関数にアタッチされたコード署名設定 ARN を表示するアクセス許可を付与します	読み取り	function*
GetFunctionConcurrency	関数の予約済み同時実行設定の詳細を表示する許可を付与。	読み取り	function*
GetFunctionConfiguration	AWS Lambda 関数またはバージョンのバージョン固有の設定に関する詳細を表示するアクセス許可を付与します	読み取り	function*
GetFunctionEventInvokeConfig	関数、バージョン、またはエイリアスの非同期呼び出しの設定を表示する許可を付与。	読み取り	function*
GetFunctionRecursionConfig	AWS Lambda 関数の再帰設定を表示する許可を付与	読み取り	function*
GetFunctionUrlConfig	Lambda 関数の関数 URL 設定を読み取るアクセス許可を付与	読み取り	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
GetLayerVersion	AWS Lambda レイヤーのバージョンに関する詳細を表示するアクセス許可を付与します。このアクションは GetLayerVersionByArn APIWord もサポートしていることに注意してください。	読み取り	layerVersion*
GetLayerVersionPolicy	AWS Lambda レイヤーのバージョンに対するリソースベースのポリシーを表示するアクセス許可を付与します	読み取り	layerVersion*
GetPolicy	AWS Lambda 関数、バージョン、またはエイリアスのリソースベースのポリシーを表示するアクセス許可を付与します	読み取り	function*
GetProvisionedConcurrencyConfig	AWS Lambda 関数のエイリアスまたはバージョンのプロビジョニングされた同時実行設定を表示するアクセス許可を付与します	読み取り	function alias
			function version
GetRuntimeManagementConfig	AWS Lambda 関数のランタイム管理設定を表示する許可を付与	読み取り	function*
InvokeAsync	(非推奨) 関数を非同期的に呼び出すアクセス許可を付与	書き込み	function*
InvokeFunction	AWS Lambda 関数を呼び出すアクセス許可を付与します	書き込み	function*
				lambda:EventSourceToken
InvokeFunctionUrl[アクセス許可のみ]	URL を使用して AWS Lambda 関数を呼び出すアクセス許可を付与します	書き込み	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn lambda:EventSourceToken
ListAliases	AWS Lambda 関数のエイリアスのリストを取得する許可を付与	リスト	function*
ListCodeSigningConfigs	AWS Lambda コード署名設定のリストを取得する許可を付与	リスト
ListEventSourceMappings	AWS Lambda イベントソースマッピングのリストを取得する許可を付与	リスト
ListFunctionEventInvokeConfigs	関数の非同期呼び出しの設定リストを取得する許可を付与。	リスト	function*
ListFunctionUrlConfigs	関数の関数 URL 設定を読み取るアクセス許可を付与	リスト	function*
				lambda:FunctionUrlAuthType
ListFunctions	各関数のバージョン固有の設定を使用して、 AWS Lambda 関数のリストを取得する許可を付与	リスト
ListFunctionsByCodeSigningConfig	割り当てられたコード署名設定によって AWS Lambda 関数のリストを取得する許可を付与	リスト	code signing config*
ListLayerVersions	AWS Lambda レイヤーのバージョンのリストを取得する許可を付与	リスト
ListLayers	各レイヤーの最新バージョンの詳細を含む AWS Lambda レイヤーのリストを取得するアクセス許可を付与します	リスト
ListProvisionedConcurrencyConfigs	AWS Lambda 関数のプロビジョニングされた同時実行設定のリストを取得する許可を付与	リスト	function*
ListTags	AWS Lambda 関数、イベントソースマッピング、またはコード署名設定リソースのタグのリストを取得するアクセス許可を付与します	読み取り	code signing config
			eventSourceMapping
			function
ListVersionsByFunction	AWS Lambda 関数のバージョンのリストを取得する許可を付与	リスト	function*
PublishLayerVersion	AWS Lambda レイヤーを作成する許可を付与	書き込み	layer*
PublishVersion	AWS Lambda 関数のバージョンを作成するアクセス許可を付与します	書き込み	function*
PutFunctionCodeSigningConfig	AWS Lambda 関数にコード署名設定をアタッチするアクセス許可を付与します	書き込み	code signing config*
			function*
				lambda:CodeSigningConfigArn
PutFunctionConcurrency	AWS Lambda 関数の予約済み同時実行数を設定するアクセス許可を付与します	書き込み	function*
PutFunctionEventInvokeConfig	AWS Lambda 関数、バージョン、またはエイリアスで非同期呼び出しのオプションを設定するアクセス許可を付与します	書き込み	function*
PutFunctionRecursionConfig	AWS Lambda 関数の再帰設定を更新する許可を付与	書き込み	function*
PutProvisionedConcurrencyConfig	AWS Lambda 関数のエイリアスまたはバージョンのプロビジョニングされた同時実行を設定するアクセス許可を付与します	書き込み	function alias
			function version
PutRuntimeManagementConfig	AWS Lambda 関数のランタイム管理設定を更新する許可を付与	書き込み	function*
RemoveLayerVersionPermission	AWS Lambda レイヤーのバージョンのアクセス許可ポリシーからステートメントを削除するアクセス許可を付与します	権限の管理	layerVersion*
RemovePermission	AWS サービスまたは別のアカウントから関数使用許可を取り消す許可を付与	権限の管理	function*
				lambda:Principal lambda:FunctionUrlAuthType
TagResource	AWS Lambda 関数、イベントソースマッピング、またはコード署名設定リソースにタグを追加する許可を付与	タグ付け	code signing config
			eventSourceMapping
			function
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	AWS Lambda 関数、イベントソースマッピング、またはコード署名設定リソースからタグを削除するアクセス許可を付与します	タグ付け	code signing config
			eventSourceMapping
			function
				aws:TagKeys
UpdateAlias	AWS Lambda 関数のエイリアスの設定を更新する許可を付与	書き込み	function*
UpdateCodeSigningConfig	AWS Lambda コード署名設定を更新する許可を付与	書き込み	code signing config*
UpdateEventSourceMapping	AWS Lambda イベントソースマッピングの設定を更新する許可を付与	書き込み	eventSourceMapping*
				lambda:FunctionArn
UpdateFunctionCode	AWS Lambda 関数のコードを更新する許可を付与	書き込み	function*
UpdateFunctionCodeSigningConfig	AWS Lambda 関数のコード署名設定を更新する許可を付与	書き込み	code signing config*
			function*
UpdateFunctionConfiguration	AWS Lambda 関数のバージョン固有の設定を変更する許可を付与	書き込み	function*
				lambda:Layer lambda:VpcIds lambda:SubnetIds lambda:SecurityGroupIds
UpdateFunctionEventInvokeConfig	AWS Lambda 関数、バージョン、またはエイリアスの非同期呼び出しの設定を変更するアクセス許可を付与します	書き込み	function*
UpdateFunctionUrlConfig	Lambda 関数の関数 URL 設定を更新するアクセス許可を付与	書き込み	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn

AWS Lambda で定義されるリソースタイプ

次のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource要素で使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
code signing config	arn:${Partition}:lambda:${Region}:${Account}:code-signing-config:${CodeSigningConfigId}	aws:ResourceTag/${TagKey}
eventSourceMapping	arn:${Partition}:lambda:${Region}:${Account}:event-source-mapping:${UUID}	aws:ResourceTag/${TagKey}
function	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}	aws:ResourceTag/${TagKey}
function alias	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Alias}	aws:ResourceTag/${TagKey}
function version	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Version}	aws:ResourceTag/${TagKey}
layer	arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}
layerVersion	arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}:${LayerVersion}

AWS Lambda の条件キー

AWS Lambda は、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
aws:RequestTag/${TagKey}	リクエストで渡されたタグでアクセスをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	リソースに関連付けられたタグでアクセスをフィルタリングします	文字列
aws:TagKeys	リクエストで渡されたタグキーでアクセスをフィルタリングします	ArrayOfString
lambda:CodeSigningConfigArn	AWS Lambda コード署名設定のARNでアクセスをフィルタリングします	ARN
lambda:EventSourceToken	AWS Lambda 関数用に設定されたAWS イベント以外のソースからの ID でアクセスをフィルタリングします	文字列
lambda:FunctionArn	AWS Lambda 関数の ARN でアクセスをフィルタリングします	ARN
lambda:FunctionUrlAuthType	リクエストで指定された認可タイプでアクセスをフィルタリングします。 CreateFunctionUrlConfig、 UpdateFunctionUrlConfig、 DeleteFunctionUrlConfig、Word、 GetFunctionUrlConfig、 ListFunctionUrlConfig、 AddPermission の各 RemovePermission オペレーションで使用可能	文字列
lambda:Layer	AWS Lambda レイヤーのバージョンの ARN でアクセスをフィルタリングします	ArrayOfString
lambda:Principal	関数を呼び出すことができる AWS サービスまたはアカウントを制限してアクセスをフィルタリングします	文字列
lambda:SecurityGroupIds	AWS Lambda 関数用に設定されたセキュリティグループの ID でアクセスをフィルタリングします	ArrayOfString
lambda:SourceFunctionArn	リクエスト元の AWS Lambda 関数の ARN でアクセスをフィルタリングします	ARN
lambda:SubnetIds	AWS Lambda 関数用に設定されたサブネットの ID でアクセスをフィルタリングします	ArrayOfString
lambda:VpcIds	AWS Lambda 関数用に設定された VPC の ID でアクセスをフィルタリングします	文字列