Ações, recursos e chaves de condição do AWS Lambda

O AWS Lambda (prefixo de serviço: lambda) fornece os seguintes recursos, ações e chaves de contexto de condição específicos do serviço para uso em políticas de permissão do IAM.

Referências:

• Saiba como configurar este serviço.

• Visualize uma lista das operações de API disponíveis para este serviço.

• Saiba como proteger este serviço e seus recursos usando políticas de permissão do IAM.

Ações definidas pelo AWS Lambda

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AddLayerVersionPermission	Concede permissão para adicionar permissões à política baseada em recurso de uma versão de uma camada do AWS Lambda	Permissions management	layerVersion*
AddPermission	Concede permissão para dar permissão a um produto da AWS ou a outra conta para usar uma função do AWS Lambda	Permissions management	function*
				lambda:Principal lambda:FunctionUrlAuthType
CreateAlias	Concede permissão para criar um alias para uma versão de função do Lambda	Write	function*
CreateCodeSigningConfig	Concede permissão para criar uma configuração de assinatura de código do AWS Lambda	Write
CreateEventSourceMapping	Concede permissão para criar um mapeamento entre uma origem de evento e uma função do AWS Lambda	Write		lambda:FunctionArn
CreateFunction	Concede permissão para criar uma função do AWS Lambda	Gravação	function*		iam:PassRole
				lambda:Layer lambda:VpcIds lambda:SubnetIds lambda:SecurityGroupIds lambda:CodeSigningConfigArn aws:RequestTag/${TagKey} aws:TagKeys
CreateFunctionUrlConfig	Concede permissão para criar uma configuração de URL de função para uma função Lambda	Gravação	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
DeleteAlias	Concede permissão para excluir um alias de função do AWS Lambda	Write	function*
DeleteCodeSigningConfig	Concede permissão para excluir uma configuração de assinatura de código do AWS Lambda	Write	code signing config*
DeleteEventSourceMapping	Concede permissão para excluir um mapeamento de origem de evento do AWS Lambda	Write	eventSourceMapping*
				lambda:FunctionArn
DeleteFunction	Concede permissão para excluir uma função do AWS Lambda	Write	function*
DeleteFunctionCodeSigningConfig	Concede permissão para desvincular uma configuração de assinatura de código de uma função do AWS Lambda	Write	function*
DeleteFunctionConcurrency	Concede permissão para remover um limite de execução simultânea de uma função do AWS Lambda	Write	function*
DeleteFunctionEventInvokeConfig	Concede permissão para excluir a configuração para invocação assíncrona de uma função, uma versão ou um alias do AWS Lambda	Gravação	function*
DeleteFunctionUrlConfig	Concede permissão para excluir uma configuração de URL de função para uma função Lambda	Gravação	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
DeleteLayerVersion	Concede permissão para excluir uma versão de uma camada do AWS Lambda	Write	layerVersion*
DeleteProvisionedConcurrencyConfig	Concede permissão para excluir a configuração de simultaneidade provisionada para uma função do AWS Lambda	Write	function alias
			function version
DisableReplication [somente permissão]	Concede permissão para desativar a replicação para uma função do Lambda@Edge	Permissions management	function*
EnableReplication [somente permissão]	Concede permissão para habilitar a replicação para uma função do Lambda@Edge	Permissions management	function*
GetAccountSettings	Concede permissão para visualizar detalhes sobre os limites e o uso de uma conta em uma Região da AWS	Read
GetAlias	Concede permissão para visualizar detalhes sobre um alias de função do AWS Lambda	Read	function*
GetCodeSigningConfig	Concede permissão para visualizar detalhes sobre uma configuração de assinatura de código do AWS Lambda	Read	code signing config*
GetEventSourceMapping	Concede permissão para visualizar detalhes sobre um mapeamento de origem de evento do AWS Lambda	Read	eventSourceMapping*
				lambda:FunctionArn
GetFunction	Concede permissão para visualizar detalhes sobre uma função do AWS Lambda	Read	function*
GetFunctionCodeSigningConfig	Concede permissão para visualizar o ARN de configuração de assinatura de código anexado a uma função do AWS Lambda	Read	function*
GetFunctionConcurrency	Concede permissão para exibir detalhes sobre a configuração de simultaneidade reservada para uma função	Read	function*
GetFunctionConfiguration	Concede permissão para visualizar detalhes sobre as configurações específicas da versão de uma função ou versão do AWS Lambda	Read	function*
GetFunctionEventInvokeConfig	Concede permissão para exibir a configuração para invocação assíncrona de uma função, uma versão ou um alias	Leitura	function*
GetFunctionUrlConfig	Concede permissão para ler uma configuração de URL de função para uma função Lambda	Leitura	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn
GetLayerVersion	Concede permissão para visualizar detalhes sobre uma versão de uma camada do AWS Lambda. Observe que essa ação também oferece suporte à API GetLayerVersionByArn	Read	layerVersion*
GetLayerVersionPolicy	Concede permissão para visualizar a política baseada em recurso para uma versão de uma camada do AWS Lambda	Read	layerVersion*
GetPolicy	Concede permissão para visualizar a política baseada em recurso para uma função, uma versão ou um alias do AWS Lambda	Read	function*
GetProvisionedConcurrencyConfig	Concede permissão para visualizar a configuração de simultaneidade provisionada para o alias ou versão de uma função do AWS Lambda	Leitura	function alias
			function version
GetRuntimeManagementConfig	Concede permissão para exibir a configuração de gerenciamento de runtime de uma função do AWS Lambda	Leitura	function*
InvokeAsync	Concede permissão para invocar uma função de forma assíncrona (Defasado)	Gravação	function*
InvokeFunction	Concede permissão para invocar uma função do AWS Lambda	Gravação	function*
				lambda:EventSourceToken
InvokeFunctionUrl [somente permissão]	Concede permissão para invocar uma função do AWS Lambda pela URL	Gravação	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn lambda:EventSourceToken
ListAliases	Concede permissão para recuperar uma lista de aliases para uma função do AWS Lambda	List	function*
ListCodeSigningConfigs	Concede permissão para recuperar uma lista de configurações de assinatura de código do AWS Lambda	List
ListEventSourceMappings	Concede permissão para recuperar uma lista de mapeamentos de origem de eventos do AWS Lambda	List
ListFunctionEventInvokeConfigs	Concede permissão para recuperar uma lista de configurações para invocação assíncrona de uma função	Listar	function*
ListFunctionUrlConfigs	Concede permissão para ler configurações de URL de função para uma função	Listar	function*
				lambda:FunctionUrlAuthType
ListFunctions	Concede permissão para recuperar uma lista de funções do AWS Lambda, com a configuração específica da versão de cada função	List
ListFunctionsByCodeSigningConfig	Concede permissão para recuperar uma lista de funções do AWS Lambda pela configuração de assinatura de código atribuída	List	code signing config*
ListLayerVersions	Concede permissão para recuperar uma lista de versões de uma camada do AWS Lambda	List
ListLayers	Concede permissão para recuperar uma lista de camadas do AWS Lambda, com detalhes sobre a versão mais recente de cada camada	List
ListProvisionedConcurrencyConfigs	Concede permissão para recuperar uma lista de configurações de simultaneidade provisionadas para uma função do AWS Lambda	List	function*
ListTags	Concede permissão para recuperar uma lista de etiquetas para uma função do AWS Lambda	Read	function*
ListVersionsByFunction	Concede permissão para recuperar uma lista de versões para uma função do AWS Lambda	List	function*
PublishLayerVersion	Concede permissão para criar uma camada do AWS Lambda	Write	layer*
PublishVersion	Concede permissão para criar uma versão de função do AWS Lambda	Write	function*
PutFunctionCodeSigningConfig	Concede permissão para anexar uma configuração de assinatura de código a uma função do AWS Lambda	Write	code signing config*
			function*
				lambda:CodeSigningConfigArn
PutFunctionConcurrency	Concede permissão para configurar a simultaneidade reservada para uma função do AWS Lambda	Write	function*
PutFunctionEventInvokeConfig	Concede permissão para configurar opções para invocação assíncrona em uma função, uma versão ou um alias do AWS Lambda	Write	function*
PutProvisionedConcurrencyConfig	Concede permissão para configurar a simultaneidade provisionada para o alias ou versão de uma função do AWS Lambda	Gravação	function alias
			function version
PutRuntimeManagementConfig	Concede permissão para atualizar a configuração de gerenciamento de runtime de uma função do AWS Lambda	Gravação	function*
RemoveLayerVersionPermission	Concede permissão para remover uma instrução da política de permissões para uma versão de uma camada do AWS Lambda	Permissions management	layerVersion*
RemovePermission	Concede permissão para revogar a permissão de uso da função de um produto da AWS ou de outra conta	Permissions management	function*
				lambda:Principal lambda:FunctionUrlAuthType
TagResource	Concede permissão para adicionar etiquetas a uma função do AWS Lambda	Marcação	function*
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Concede permissão para remover etiquetas de uma função do AWS Lambda	Marcação	function*
				aws:TagKeys
UpdateAlias	Concede permissão para atualizar a configuração do alias de uma função do AWS Lambda	Write	function*
UpdateCodeSigningConfig	Concede permissão para atualizar uma configuração de assinatura de código do AWS Lambda	Write	code signing config*
UpdateEventSourceMapping	Concede permissão para atualizar a configuração de um mapeamento de origem de evento do AWS Lambda	Write	eventSourceMapping*
				lambda:FunctionArn
UpdateFunctionCode	Concede permissão para atualizar o código de uma função do AWS Lambda	Write	function*
UpdateFunctionCodeSigningConfig	Concede permissão para atualizar a configuração de assinatura de código de uma função do AWS Lambda	Write	code signing config*
			function*
UpdateFunctionConfiguration	Concede permissão para modificar as configurações específicas da versão de uma função do AWS Lambda	Write	function*
				lambda:Layer lambda:VpcIds lambda:SubnetIds lambda:SecurityGroupIds
UpdateFunctionEventInvokeConfig	Concede permissão para modificar a configuração para invocação assíncrona de uma função, uma versão ou um alias do AWS Lambda	Gravação	function*
UpdateFunctionUrlConfig	Concede permissão para atualizar uma configuração de URL de função para uma função Lambda	Gravação	function*
				lambda:FunctionUrlAuthType lambda:FunctionArn

Tipos de recursos definidos pelo AWS Lambda

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
code signing config	arn:${Partition}:lambda:${Region}:${Account}:code-signing-config:${CodeSigningConfigId}
eventSourceMapping	arn:${Partition}:lambda:${Region}:${Account}:event-source-mapping:${UUID}
function	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}	aws:ResourceTag/${TagKey}
function alias	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Alias}	aws:ResourceTag/${TagKey}
function version	arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Version}	aws:ResourceTag/${TagKey}
layer	arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}
layerVersion	arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}:${LayerVersion}

Chaves de condição do AWS Lambda

O AWS Lambda define as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para visualizar as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra o acesso pelas etiquetas que são transmitidas na solicitação	Segmento
aws:ResourceTag/${TagKey}	Filtra o acesso pelas etiquetas associadas ao recurso	Segmento
aws:TagKeys	Filtra o acesso pelas chaves da etiqueta que são transmitidas na solicitação	ArrayOfString
lambda:CodeSigningConfigArn	Filtra o acesso pelo ARN de uma configuração de assinatura de código do AWS Lambda	ARN
lambda:EventSourceToken	Filtra o acesso pelo ID de uma fonte sem eventos da AWS configurada para a função do AWS Lambda	Segmento
lambda:FunctionArn	Filtra o acesso pelo ARN de uma função do AWS Lambda	ARN
lambda:FunctionUrlAuthType	Filtra o acesso por tipo de autorização especificado na solicitação. Disponível durante as operações CreateFunctionUrlConfig, UpdateFunctionUrlConfig, DeleteFunctionUrlConfig, GetFunctionUrlConfig, ListFunctionUrlConfig, AddPermission e RemovePermission	Segmento
lambda:Layer	Filtra o acesso pelo ARN de uma versão de uma camada do AWS Lambda	ArrayOfString
lambda:Principal	Filtra o acesso restringindo o produto ou a conta da AWS que pode invocar uma função	String
lambda:SecurityGroupIds	Filtra o acesso pelo ID de grupos de segurança configurados para a função do AWS Lambda	ArrayOfString
lambda:SourceFunctionArn	Filtra o acesso pelo ARN da função do AWS Lambda da qual a solicitação foi originada	ARN
lambda:SubnetIds	Filtra o acesso pelo ID das sub-redes configuradas para a função do AWS Lambda	ArrayOfString
lambda:VpcIds	Filtra o acesso pelo ID da VPC configurada para a função do AWS Lambda	Segmento