ラムダ関数がオブジェクトを排他的にS3バケットに入れることを許可する

Question

私の現在のS3バケットポリシーはs3:getObjectとs3:putObjectをグローバルに有効にしています。バケットポリシーを指定することで制限しようとしています。

s3:getObjectは安全ですが、s3:putObjectへのアクセスを特定のAWSラムダ機能に限定したいと思います。

この関数は、CloudFrontに対するHTTPリクエストを介して匿名でトリガされるため、AWSユーザは含まれません。

ラムダのARN識別子によるアクセスを制限する方法はありますか？

現在の政策：

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "PublicReadGetObject", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:getObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     }, 
     { 
      "Sid": "LambdaPutObject", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:putObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     } 
    ] 
} 

Answer 1

は実際には、必要とされたことはすべて、ラムダのためのアクセスポリシーを作成することでした。 lambda_basic_executionのようにあらかじめ定義されたものがあります。ここで私を助け、特定のconfigがある

Lambda > Functions > {name} > Roles IAM > Roles

：

役割の設定

が内部でAWSコンソールで見つけることができ

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "logs:CreateLogGroup", 
       "logs:CreateLogStream", 
       "logs:PutLogEvents" 
      ], 
      "Resource": "arn:aws:logs:*:*:*" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": "s3:PutObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     } 
    ] 
}