Amazon SAM 策略模板

Amazon Serverless Application Model (Amazon SAM) 允许您从策略模板列表中选择来将您的 Lambda 函数和 Amazon Step Functions 状态机的权限范围限定为您的应用程序使用的资源。

Amazon SAM 中使用策略模板的 Amazon Serverless Application Repository 应用程序不需要任何特殊的客户确认，即可从 Amazon Serverless Application Repository 中部署应用程序。

如果要请求添加新的策略模板，请执行以下操作：

语法

对于您在 Amazon SAM 模板文件中指定的每个策略模板，必须始终指定一个包含策略模板占位符值的对象。如果策略模板不需要任何占位符值，则必须指定一个空对象。

MyFunction:
  Type: AWS::Serverless::Function
  Properties:
    Policies:
      - PolicyTemplateName1:        # Policy template with placeholder value
          Key1: Value1
      - PolicyTemplateName2: {}     # Policy template with no placeholder value

示例

示例 1：具有占位符值的策略模板

以下示例显示 SQSPollerPolicy 策略模板期待 QueueName 作为资源。Amazon SAM 模板检索“MyQueue”Amazon SQS 队列的名称，您可以在同一应用程序中创建该队列或作为应用程序的参数请求。

MyFunction:
  Type: 'AWS::Serverless::Function'
  Properties:
    CodeUri: ${codeuri}
    Handler: hello.handler
    Runtime: python2.7
    Policies:
      - SQSPollerPolicy:
          QueueName:
            !GetAtt MyQueue.QueueName
				

示例 2：不具有占位符值的策略模板

以下示例包含 CloudWatchPutMetricPolicy 策略模板，该模板没有占位符值。

MyFunction:
  Type: 'AWS::Serverless::Function'
  Properties:
    CodeUri: ${codeuri}
    Handler: hello.handler
    Runtime: python2.7
    Policies:
      - CloudWatchPutMetricPolicy: {}
				

示例 3：包含占位符值和常规 IAM 策略的策略模板

以下示例包含 AmazonsqsFullaCess 策略和 DynamoDBCrudPolicy 策略模板。AmazonSQSFullAccess 策略是 IAM 策略而非 Amazon SAM 策略，因此无需指定空对象，该策略将直接传递至 Amazon CloudFormation。

MyFunction:
  Type: 'AWS::Serverless::Function'
  Properties:
    CodeUri: ${codeuri}
    Handler: hello.handler
    Runtime: python2.7
    Policies:
      - AmazonSQSFullAccess // IAM policy could be set without passing an empty object
      - DynamoDBCrudPolicy: // SAM specific policy, has a defined structure
           TableName: 
             !Ref SampleTable
				

策略模板表

下表列出了可用的策略模板。

故障排除

SAM CLI 错误：“必须为策略模板 '<policy-template-name>' 指定有效的参数值”

执行 sam build 时，您会看到以下错误：

"Must specify valid parameter values for policy template '<policy-template-name>'"
            

这意味着您在声明没有任何占位符值的策略模板时没有传递空对象。

要解决此问题，请如以下示例所示声明策略：CloudWatchPutMetricPolicy。

MyFunction:
  Policies:
    - CloudWatchPutMetricPolicy: {}