Ações, recursos e chaves de condição do AWS Lambda

AWS O Lambda (prefixo do serviço:lambda) fornece os seguintes recursos, ações e chaves de contexto de condição específicos do serviço para uso em políticas de permissão. IAM

Referências:

• Saiba como configurar este serviço.

• Veja uma lista das APIoperações disponíveis para esse serviço.

• Saiba como proteger esse serviço e seus recursos usando políticas de IAM permissão.

Ações definidas pelo AWS Lambda

Você pode especificar as seguintes ações no Action elemento de uma declaração de IAM política. Use políticas para conceder permissões para executar uma operação na AWS. Quando você usa uma ação em uma política, geralmente permite ou nega acesso à API operação ou ao CLI comando com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma declaração com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o Resource elemento em uma IAM política, deverá incluir um padrão ARN ou para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AddLayerVersionPermission	Concede permissão para adicionar permissões à política baseada em recursos de uma versão de uma camada AWS Lambda	Gerenciamento de permissões	layerVersion*
AddPermission	Concede permissão para dar permissão a um AWS serviço ou outra conta para usar uma função AWS Lambda	Gerenciamento de permissões	function*
				lambda:Principal lambda:FunctionUrlAuthType
CreateAlias	Concede permissão para criar um alias para uma versão de função do Lambda	Escrever	function*
CreateCodeSigningConfig	Concede permissão para criar uma configuração de AWS assinatura de código Lambda	Escrever
CreateEventSourceMapping	Concede permissão para criar um mapeamento entre uma fonte de eventos e uma função AWS Lambda	Escrever		lambda:FunctionArn
CreateFunction	Concede permissão para criar uma função AWS Lambda	Escrever	function*		iam:PassRole
				lambda:Layer lambda:VpcIds lambda:SubnetIds lambda:SecurityGroupIds lambda:CodeSigningConfigArn aws:RequestTag/${TagKey} aws:TagKeys
CreateFunctionUrlConfig	Concede permissão para criar uma configuração de URL de função para uma função Lambda	Escrever	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
DeleteAlias	Concede permissão para excluir um alias da AWS função Lambda	Escrever	function*
DeleteCodeSigningConfig	Concede permissão para excluir uma configuração de AWS assinatura de código Lambda	Escrever	code signing config*
DeleteEventSourceMapping	Concede permissão para excluir um mapeamento de AWS origem de eventos do Lambda	Escrever	eventSourceMapping*
				lambda:FunctionArn
DeleteFunction	Concede permissão para excluir uma função AWS Lambda	Escrever	function*
DeleteFunctionCodeSigningConfig	Concede permissão para separar uma configuração de assinatura de código de uma função AWS Lambda	Escrever	function*
DeleteFunctionConcurrency	Concede permissão para remover um limite de execução simultânea de uma função AWS Lambda	Escrever	function*
DeleteFunctionEventInvokeConfig	Concede permissão para excluir a configuração para invocação assíncrona para uma função, versão ou alias do AWS Lambda	Escrever	function*
DeleteFunctionUrlConfig	Concede permissão para excluir uma configuração de URL de função para uma função Lambda	Escrever	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
DeleteLayerVersion	Concede permissão para excluir uma versão de uma camada AWS Lambda	Escrever	layerVersion*
DeleteProvisionedConcurrencyConfig	Concede permissão para excluir a configuração de simultaneidade provisionada para uma função Lambda AWS	Escrever	function alias
			function version
DisableReplication [somente permissão]	Concede permissão para desativar a replicação para uma função do Lambda@Edge	Permissions management	function*
EnableReplication [somente permissão]	Concede permissão para habilitar a replicação para uma função do Lambda@Edge	Gerenciamento de permissões	function*
GetAccountSettings	Concede permissão para visualizar detalhes sobre os limites e o uso de uma conta em um Região da AWS	Leitura
GetAlias	Concede permissão para visualizar detalhes sobre um alias de AWS função Lambda	Leitura	function*
GetCodeSigningConfig	Concede permissão para visualizar detalhes sobre uma configuração de AWS assinatura de código Lambda	Leitura	code signing config*
GetEventSourceMapping	Concede permissão para visualizar detalhes sobre o mapeamento da fonte de um evento AWS Lambda	Leitura	eventSourceMapping*
				lambda:FunctionArn
GetFunction	Concede permissão para visualizar detalhes sobre uma função AWS Lambda	Leitura	function*
GetFunctionCodeSigningConfig	Concede permissão para visualizar o arn de configuração de assinatura de código anexado a uma função AWS Lambda	Leitura	function*
GetFunctionConcurrency	Concede permissão para exibir detalhes sobre a configuração de simultaneidade reservada para uma função	Leitura	function*
GetFunctionConfiguration	Concede permissão para visualizar detalhes sobre as configurações específicas da versão de uma função ou versão do AWS Lambda	Leitura	function*
GetFunctionEventInvokeConfig	Concede permissão para exibir a configuração para invocação assíncrona de uma função, uma versão ou um alias	Leitura	function*
GetFunctionRecursionConfig	Concede permissão para visualizar a configuração de recursão de uma função AWS Lambda	Leitura	function*
GetFunctionUrlConfig	Concede permissão para ler uma configuração de URL de função para uma função Lambda	Leitura	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
GetLayerVersion	Concede permissão para visualizar detalhes sobre uma versão de uma camada AWS Lambda. Nota: esta ação também suporta GetLayerVersionByArn API	Leitura	layerVersion*
GetLayerVersionPolicy	Concede permissão para visualizar a política baseada em recursos para uma versão de uma camada AWS Lambda	Leitura	layerVersion*
GetPolicy	Concede permissão para visualizar a política baseada em recursos para uma função, versão ou alias do AWS Lambda	Leitura	function*
GetProvisionedConcurrencyConfig	Concede permissão para visualizar a configuração de simultaneidade provisionada para o alias ou a versão de uma função AWS Lambda	Leitura	function alias
			function version
GetRuntimeManagementConfig	Concede permissão para visualizar a configuração de gerenciamento de tempo de execução de uma função AWS Lambda	Leitura	function*
InvokeAsync	Concede permissão para invocar uma função de forma assíncrona (Defasado)	Escrever	function*
InvokeFunction	Concede permissão para invocar uma função AWS Lambda	Escrever	function*
				lambda:EventSourceToken
InvokeFunctionUrl [somente permissão]	Concede permissão para invocar uma função AWS Lambda por meio de url	Escrever	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn lambda:EventSourceToken
ListAliases	Concede permissão para recuperar uma lista de aliases para uma função AWS Lambda	Listar	function*
ListCodeSigningConfigs	Concede permissão para recuperar uma lista de configurações de assinatura de AWS código Lambda	Listar
ListEventSourceMappings	Concede permissão para recuperar uma lista de mapeamentos de origem de AWS eventos do Lambda	Listar
ListFunctionEventInvokeConfigs	Concede permissão para recuperar uma lista de configurações para invocação assíncrona de uma função	Listar	function*
ListFunctionUrlConfigs	Concede permissão para ler configurações de URL de função para uma função	Listar	function*
				lambda:FunctionUrlAuthType
ListFunctions	Concede permissão para recuperar uma lista de funções do AWS Lambda, com a configuração específica da versão de cada função	Listar
ListFunctionsByCodeSigningConfig	Concede permissão para recuperar uma lista de funções do AWS Lambda pela configuração de assinatura de código atribuída	Listar	code signing config*
ListLayerVersions	Concede permissão para recuperar uma lista de versões de uma camada AWS Lambda	Listar
ListLayers	Concede permissão para recuperar uma lista de camadas do AWS Lambda, com detalhes sobre a versão mais recente de cada camada	Listar
ListProvisionedConcurrencyConfigs	Concede permissão para recuperar uma lista de configurações de simultaneidade provisionadas para uma função Lambda AWS	Listar	function*
ListTags	Concede permissão para recuperar uma lista de tags para uma função AWS Lambda	Leitura	function*
ListVersionsByFunction	Concede permissão para recuperar uma lista de versões de uma função AWS Lambda	Listar	function*
PublishLayerVersion	Concede permissão para criar uma camada AWS Lambda	Escrever	layer*
PublishVersion	Concede permissão para criar uma versão da AWS função Lambda	Escrever	function*
PutFunctionCodeSigningConfig	Concede permissão para anexar uma configuração de assinatura de código a uma função AWS Lambda	Escrever	code signing config*
			function*
				lambda:CodeSigningConfigArn
PutFunctionConcurrency	Concede permissão para configurar a simultaneidade reservada para uma função AWS Lambda	Escrever	function*
PutFunctionEventInvokeConfig	Concede permissão para configurar opções para invocação assíncrona em uma função, versão ou alias do AWS Lambda	Escrever	function*
PutFunctionRecursionConfig	Concede permissão para atualizar a configuração de recursão de uma função AWS Lambda	Escrever	function*
PutProvisionedConcurrencyConfig	Concede permissão para configurar a simultaneidade provisionada para o alias ou a versão de uma função AWS Lambda	Escrever	function alias
			function version
PutRuntimeManagementConfig	Concede permissão para atualizar a configuração de gerenciamento de tempo de execução de uma função AWS Lambda	Escrever	function*
RemoveLayerVersionPermission	Concede permissão para remover uma declaração da política de permissões para uma versão de uma camada AWS Lambda	Gerenciamento de permissões	layerVersion*
RemovePermission	Concede permissão para revogar a permissão de uso de funções de um AWS serviço ou de outra conta	Gerenciamento de permissões	function*
				lambda:Principal lambda:FunctionUrlAuthType
TagResource	Concede permissão para adicionar tags a uma função AWS Lambda	Tags	function*
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Concede permissão para remover tags de uma função AWS Lambda	Tags	function*
				aws:TagKeys
UpdateAlias	Concede permissão para atualizar a configuração do alias de uma função AWS Lambda	Escrever	function*
UpdateCodeSigningConfig	Concede permissão para atualizar uma configuração de AWS assinatura de código Lambda	Escrever	code signing config*
UpdateEventSourceMapping	Concede permissão para atualizar a configuração de um mapeamento de origem de eventos AWS Lambda	Escrever	eventSourceMapping*
				lambda:FunctionArn
UpdateFunctionCode	Concede permissão para atualizar o código de uma função AWS Lambda	Escrever	function*
UpdateFunctionCodeSigningConfig	Concede permissão para atualizar a configuração de assinatura de código de uma função AWS Lambda	Escrever	code signing config*
			function*
UpdateFunctionConfiguration	Concede permissão para modificar as configurações específicas da versão de uma função AWS Lambda	Escrever	function*
				lambda:Layer lambda:VpcIds lambda:SubnetIds lambda:SecurityGroupIds
UpdateFunctionEventInvokeConfig	Concede permissão para modificar a configuração para invocação assíncrona para uma função, versão ou alias do AWS Lambda	Escrever	function*
UpdateFunctionUrlConfig	Concede permissão para atualizar uma configuração de URL de função para uma função Lambda	Escrever	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn

Tipos de recursos definidos pelo AWS Lambda

Os seguintes tipos de recursos são definidos por esse serviço e podem ser usados no Resource elemento das declarações de política de IAM permissão. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
code signing config	arn:${Partition}:lambda:${Region}:${Account}:code-signing-config:${CodeSigningConfigId}
eventSourceMapping	arn:${Partition}:lambda:${Region}:${Account}:event-source-mapping:${UUID}
function	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}	aws:ResourceTag/${TagKey}
function alias	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Alias}	aws:ResourceTag/${TagKey}
function version	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Version}	aws:ResourceTag/${TagKey}
layer	arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}
layerVersion	arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}:${LayerVersion}

Chaves de condição do AWS Lambda

AWS O Lambda define as seguintes chaves de condição que podem ser usadas no Condition elemento de uma IAM política. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para ver as chaves de condição globais que estão disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra o acesso pelas etiquetas que são transmitidas na solicitação	Segmento
aws:ResourceTag/${TagKey}	Filtra o acesso pelas etiquetas associadas ao recurso	Segmento
aws:TagKeys	Filtra o acesso pelas chaves da etiqueta que são transmitidas na solicitação	ArrayOfString
lambda:CodeSigningConfigArn	Filtra o acesso por meio ARN de uma configuração de assinatura de código AWS Lambda	ARN
lambda:EventSourceToken	Filtra o acesso pelo ID de uma fonte sem AWS eventos configurada para a função AWS Lambda	String
lambda:FunctionArn	Filtra o acesso por meio ARN de uma função AWS Lambda	ARN
lambda:FunctionUrlAuthType	Filtra o acesso por tipo de autorização especificado na solicitação. Disponível durante CreateFunctionUrlConfig, UpdateFunctionUrlConfig DeleteFunctionUrlConfig, GetFunctionUrlConfig, ListFunctionUrlConfig, AddPermission e RemovePermission operações	String
lambda:Layer	Filtra o acesso pela versão ARN de uma camada AWS Lambda	ArrayOfString
lambda:Principal	Filtra o acesso restringindo o AWS serviço ou a conta que pode invocar uma função	String
lambda:SecurityGroupIds	Filtra o acesso pelo ID dos grupos de segurança configurados para a função AWS Lambda	ArrayOfString
lambda:SourceFunctionArn	Filtra o acesso pela função ARN AWS Lambda da qual a solicitação foi originada	ARN
lambda:SubnetIds	Filtra o acesso pelo ID das sub-redes configuradas para a função AWS Lambda	ArrayOfString
lambda:VpcIds	Filtra o acesso pelo ID do VPC configurado para a função AWS Lambda	String