AWS Lambda 실행 역할 - AWS Lambda

AWS Lambda 실행 역할

AWS Lambda 함수의 실행 역할은 AWS 서비스 및 리소스에 대한 액세스 권한을 부여합니다. 함수를 만들 때 이 역할을 제공하면 함수를 호출할 때 Lambda가 이 역할을 수임합니다. 개발 작업을 위해 Amazon CloudWatch에 로그를 전송하고, AWS X-Ray에 추적 데이터를 업로드하는 권한을 가진 실행 역할을 만들 수 있습니다.

함수의 실행 역할을 보려면

  1. Lambda 콘솔 함수 페이지를 엽니다.

  2. 함수를 선택합니다.

  3. Permissions를 선택합니다.

  4. 리소스 요약에는 함수가 액세스할 수 있는 서비스와 리소스가 표시됩니다. 다음 예제에서는 Lambda 콘솔에서 실행 역할을 만들 때 Lambda가 실행 역할에 추가하는 CloudWatch Logs 권한을 보여 줍니다.

    
          Lambda 콘솔에서의 실행 역할.
  5. 드롭다운 메뉴에서 서비스를 선택하여 해당 서비스와 관련된 권한을 확인합니다.

언제든지 함수의 실행 역할에서 원한을 추가하거나 제거할 수 있으며, 다른 역할에 사용하도록 함수를 구성할 수 있습니다. 함수가 AWS SDK를 사용하여 호출하는 서비스 및 Lambda가 선택적 기능을 활성화하기 위해 사용하는 서비스에 대해 권한을 추가합니다.

함수에 권한을 추가할 때 코드나 구성도 함께 업데이트하십시오. 그러면 자격 증명이 오래된 함수의 인스턴스 실행이 중지 및 대체됩니다.

IAM 콘솔에서 실행 역할 생성

기본적으로 Lambda는 Lambda 콘솔에서 함수를 작성할 때 최소한의 권한으로 실행 역할을 생성합니다. IAM 콘솔에서 실행 역할을 생성할 수도 있습니다.

IAM 콘솔에서 실행 역할을 생성하려면

  1. IAM 콘솔에서 역할 페이지를 엽니다.

  2. 역할 생성을 선택합니다.

  3. Common use cases(일반 사용 사례)에서 Lambda를 선택합니다.

  4. Next: Permissions(다음: 권한)를 선택합니다.

  5. 권한 정책 연결에서 AWSLambdaBasicExecutionRoleAWSXRayDaemonWriteAccess 관리형 정책을 선택합니다.

  6. 다음: 태그를 선택합니다.

  7. 다음: 검토를 선택합니다.

  8. Role name(역할 이름)lambda-role을 입력합니다.

  9. 역할 생성을 선택합니다.

자세한 지침은 IAM 사용 설명서의 역할 생성을 참조하십시오.

IAM API를 사용한 역할 관리

실행 역할은 함수를 호출할 때 Lambda이 수임할 권한이 있는 IAM 역할입니다. AWS CLI를 사용하여 실행 역할을 생성하려면 create-role 명령을 사용합니다.

$ aws iam create-role --role-name lambda-ex --assume-role-policy-document file://trust-policy.json { "Role": { "Path": "/", "RoleName": "lambda-ex", "RoleId": "AROAQFOXMPL6TZ6ITKWND", "Arn": "arn:aws:iam::123456789012:role/lambda-ex", "CreateDate": "2020-01-17T23:19:12Z", "AssumeRolePolicyDocument": { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "lambda.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } } }

trust-policy.json 파일은 현재 디렉터리에 있는 JSON 파일이며 역할의 신뢰 정책을 정의합니다. 이 신뢰 정책을 통해 Lambda가 서비스 보안 주체에 lambda.amazonaws.com 권한을 제공하여 AWS Security Token Service AssumeRole 작업을 호출하기 위해 역할의 권한을 사용할 수 있습니다.

예 trust-policy.json

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "lambda.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }

인라인으로 신뢰 정책을 지정할 수도 있습니다. JSON 문자열의 인용 부호 요구 사항은 셸에 따라 다릅니다.

$ aws iam create-role --role-name lambda-ex --assume-role-policy-document '{"Version": "2012-10-17","Statement": [{ "Effect": "Allow", "Principal": {"Service": "lambda.amazonaws.com"}, "Action": "sts:AssumeRole"}]}'

역할에 권한을 추가하려면 attach-policy-to-role 명령을 사용하십시오. 먼저 AWSLambdaBasicExecutionRole 관리형 정책을 추가합니다.

$ aws iam attach-role-policy --role-name lambda-ex --policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Lambda 기능에 대한 관리형 정책

다음 관리형 정책은 Lambda 기능을 사용하는 데 필요한 권한을 제공합니다.

  • AWSLambdaBasicExecutionRole – CloudWatch에 로그를 업로드할 수 있는 권한.

  • AWSLambdaKinesisExecutionRole – Amazon Kinesis 데이트 스트림 또는 소비자의 이벤트를 읽을 수 있는 권한.

  • AWSLambdaDynamoDBExecutionRole – Amazon DynamoDB 스트림에서 레코드를 읽을 수 있는 권한.

  • AWSLambdaSQSQueueExecutionRole – Amazon Simple Queue Service(Amazon SQS) 대기열에서 메시지를 읽을 수 있는 권한.

  • AWSLambdaVPCAccessExecutionRole – 함수를 VPC에 연결하기 위해 탄력적 네트워크인터페이스를 관리하는 권한.

  • AWSXRayDaemonWriteAccess – 추적 데이터를 X-Ray에 업로드하는 권한.

일부 기능의 경우 Lambda 콘솔은 고객 관리형 정책의 실행 역할에 누락된 권한을 추가하려고 시도합니다. 이러한 정책은 많아질 수 있습니다. 추가 정책을 만들지 않도록 기능을 활성화하기 전에 실행 역할에 관련된 관리형 정책을 추가합니다.

이벤트 소스 매핑을 사용하여 함수를 호출할 경우 Lambda는 실행 역할을 사용해 이벤트 데이터를 읽습니다. 예를 들어 Amazon Kinesis에 대한 이벤트 소스 매핑은 데이터 스트림의 이벤트를 읽고 이를 함수에 배치(batch)로 전송합니다. 다음과 같은 서비스에 이벤트 소스 매핑을 사용할 수 있습니다.

Lambda이 이벤트를 읽는 서비스

관리형 정책 외에도, Lambda 콘솔은 추가 사용 사례와 관련된 권한을 가진 사용자 지정 정책을 생성하는 템플릿을 제공합니다. Lambda 콘솔에서 함수를 생성할 때 하나 이상의 템플릿의 권한을 사용하여 새로운 실행 역할을 만들 수 있습니다. 블루프린트에서 함수를 생성하거나, 다른 서비스에 액세스해야 하는 옵션을 구성할 때 이러한 템플릿도 자동으로 적용됩니다. 예제 템플릿은 이 설명서의 GitHub 리포지토리에서 구할 수 있습니다.