Lambda 基于属性的访问权限控制

借助基于属性的访问权限控制 (ABAC)，您可以使用标签来控制对 Lambda 函数的访问。您可以将标签附加到 Lambda 函数，在某些 API 请求中传递它们，或将它们附加到发出请求的 Amazon Identity and Access Management (IAM) 主体。有关 Amazon 如何授予基于属性的访问权限的更多信息，请参阅《IAM 用户指南》中的使用标签控制对 Amazon 资源的访问。

您可以使用 ABAC 授予最低权限，而无需在 IAM policy 中指定 Amazon 资源名称 (ARN) 或 ARN 模式。相反，您可以在 IAM policy 的条件元素中指定一个标签来控制访问。使用 ABAC 可以更轻松地进行扩展，因为您无需在创建新函数时更新 IAM policy。相反，将标签添加到新函数以控制访问权限。

在 Lambda 中，标签在函数级别工作。层、代码签名配置或事件源映射不支持标签。当您为函数添加标签时，这些标签将应用于与该函数关联的所有版本和别名。有关如何为函数添加标签的信息，请参阅 在 Lambda 函数上使用标签。

您可以使用以下条件键来控制函数操作：

有关支持 ABAC 的 Lambda 操作的完整列表，请参阅 函数操作，然后检查表中的 Condition（条件）列。

以下步骤演示了一种使用 ABAC 设置权限的方法。在此示例方案中，您将创建四个 IAM 权限策略。然后，您会将这些策略附加到新的 IAM 角色。最后，您将创建一个 IAM 用户并授予该用户担任新角色的权限。

先决条件

确保您具有 Lambda 执行角色。当您授予 IAM 权限和创建 Lambda 函数时，您将使用此角色。

步骤 1：要求新函数具有标签

当将 ABAC 与 Lambda 配合使用时，最佳做法是要求所有函数都具有标签。这有助于确保您的 ABAC 权限策略按预期工作。

创建类似于以下示例的 IAM policy。此策略使用 a ws: RequestTag /tag-key、a ws: ResourceTag /tag-key 和 aws: TagKeys 条件键来要求新函数和创建函数的 IAM 委托人都具有标签。projectForAllValues 修饰符确保 project 是唯一允许的标签。如果您未包括 ForAllValues 修饰符，则用户可以将其他标签添加到函数中，只要它们也传递 project。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "lambda:CreateFunction",
      "lambda:TagResource"
    ],
    "Resource": "arn:aws:lambda:*:*:function:*",
    "Condition": {
      "StringEquals": {
        "aws:RequestTag/project": "${aws:PrincipalTag/project}",
        "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
      },
      "ForAllValues:StringEquals": {
        "aws:TagKeys": "project"
      }
    }
  }
}

步骤 2：允许基于附加到 Lambda 函数和 IAM 主体的标签执行操作

使用 aws: ResourceTag /tag-key 条件键创建第二个 IA M 策略，要求委托人的标签与附加到函数的标签相匹配。以下示例策略允许具有 project 标签的主体调用具有 project 标签的函数。如果函数具有任何其他标签，则该操作将被拒绝。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:InvokeFunction",
        "lambda:GetFunction"
      ],
      "Resource": "arn:aws:lambda:*:*:function:*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

步骤 3：授予列表权限

创建允许主体列出 Lambda 函数和 IAM 角色的策略。这样，主体就可以在控制台上以及调用 API 操作时查看所有 Lambda 函数和 IAM 角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllResourcesLambdaNoTags",
      "Effect": "Allow",
      "Action": [
        "lambda:GetAccountSettings",
        "lambda:ListFunctions",
        "iam:ListRoles"
      ],
      "Resource": "*"
    }
  ]
}

步骤 4：授予 IAM 权限

创建允许iam的策略:PassRole. 当您将执行角色分配给函数时，需要此权限。在以下示例策略中，将示例 ARN 替换为 Lambda 执行角色的 ARN。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::111122223333:role/lambda-ex"
    }
  ]
}

步骤 5：创建 IAM 角色

使用角色委托权限是最佳实践。创建名为 abac-project-role 的 IAM 角色：

步骤 6：创建 IAM 用户

创建名为 abac-test-user 的 IAM 用户。在 Set permissions（设置权限）部分中，选择 Attach existing policies directly（直接附加现有策略），然后选择 Create policy（创建策略）。输入以下策略定义。将 111122223333 替换为您的 Amazon 账户 ID。此策略允许 abac-test-user 担任 abac-project-role。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::111122223333:role/abac-project-role"
  }
}

步骤 7：测试权限

此授权策略允许您控制访问权限，而无需为每个新用户创建新的策略。要向新用户授予访问权限，只需授予他们担任与其所分配项目相对应的角色的权限。

第 8 步：清理资源