Sichern Sie Ihre Funktionen mit einem Tag

Die folgenden Schritte zeigen eine Möglichkeit zum Einrichten von Berechtigungen für Funktionen mithilfe vonABAC. In diesem Beispielszenario erstellen Sie vier IAM Berechtigungsrichtlinien. Anschließend fügen Sie diese Richtlinien einer neuen IAM Rolle hinzu. Schließlich erstellen Sie einen IAM Benutzer und erteilen diesem Benutzer die Erlaubnis, die neue Rolle anzunehmen.

Voraussetzungen

Stellen Sie sicher, dass Sie über eine Lambda-Ausführungsrolle verfügen. Sie verwenden diese Rolle, wenn Sie IAM Berechtigungen erteilen und wenn Sie eine Lambda-Funktion erstellen.

Schritt 1: Tags für neue Funktionen anfordern

Bei der Verwendung ABAC mit Lambda empfiehlt es sich, zu verlangen, dass alle Funktionen über Tags verfügen. Dadurch wird sichergestellt, dass Ihre ABAC Berechtigungsrichtlinien wie erwartet funktionieren.

Erstellen Sie eine IAM Richtlinie, die dem folgenden Beispiel ähnelt. Diese Richtlinie verwendet die TagKeys Bedingungsschlüssel aws: RequestTag /tag-key, aws: ResourceTag /tag-key und aws:, um zu verlangen, dass sowohl neue Funktionen als auch der IAM Principal, der die Funktionen erstellt, das Tag haben. project Der ForAllValues-Modifikator stellt sicher, dass project das einzige zulässige Tag ist. Wenn Sie den ForAllValues-Modifikator nicht angeben, können die Benutzer der Funktion andere Tags hinzufügen, solange diese auch project übergeben.

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": [
        "lambda:CreateFunction",
        "lambda:TagResource"
      ],
      "Resource": "arn:aws:lambda:*:*:function:*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": "${aws:PrincipalTag/project}",
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": "project"
        }
      }
    }
  }

Schritt 2: Aktionen zulassen, die auf Tags basieren, die an eine Lambda-Funktion und IAM einen Principal angehängt sind

Erstellen Sie eine zweite IAM Richtlinie mithilfe des ResourceTagBedingungsschlüssels aws: /tag-key, damit das Tag des Prinzipals mit dem Tag übereinstimmt, das an die Funktion angehängt ist. Die folgende Beispielrichtlinie erlaubt es Prinzipalen mit dem project-Tag, Funktionen mit dem project-Tag aufzurufen. Wenn eine Funktion andere Tags hat, wird die Aktion verweigert.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "lambda:InvokeFunction",
          "lambda:GetFunction"
        ],
        "Resource": "arn:aws:lambda:*:*:function:*",
        "Condition": {
          "StringEquals": {
            "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
          }
        }
      }
    ]
  }

Schritt 3: Erteilen von Listenberechtigungen

Erstellen Sie eine Richtlinie, die es dem Principal ermöglicht, Lambda-Funktionen und IAM -Rollen aufzulisten. Dadurch kann der Principal alle Lambda-Funktionen und IAM -Rollen auf der Konsole und beim Aufrufen der API Aktionen sehen.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "AllResourcesLambdaNoTags",
        "Effect": "Allow",
        "Action": [
          "lambda:GetAccountSettings",
          "lambda:ListFunctions",
          "iam:ListRoles"
        ],
        "Resource": "*"
      }
    ]
  }

Schritt 4: Erteilen von IAM-Berechtigungen

Erstellen Sie eine Richtlinie, die iam erlaubt:. PassRole Diese Berechtigung ist erforderlich, wenn Sie einer Funktion eine Ausführungsrolle zuweisen. Ersetzen Sie in der folgenden Beispielrichtlinie das Beispiel ARN durch das ARN Ihrer Lambda-Ausführungsrolle.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
          "iam:PassRole"
        ],
        "Resource": "arn:aws:iam::111122223333:role/lambda-ex"
      }
    ]
  }

Schritt 5: Erstellen der IAM-Rolle

Es hat sich bewährt, Rollen zum Delegieren von Berechtigungen zu verwenden. Erstellen Sie eine IAM-Rolle mit dem Namen abac-project-role:

Schritt 6: Erstellen des IAM-Benutzers

Erstellen Sie einen IAM-Benutzer mit dem Namen abac-test-user. Wählen Sie im Abschnitt Set permissions (Berechtigungen festlegen) die Option Attach existing policies directly (Vorhandene Richtlinien direkt anhängen) und dann Create policy (Richtlinie erstellen) aus. Geben Sie die folgende Richtliniendefinition ein. Ersetzen 111122223333 mit Ihrer AWS Konto-ID. Diese Richtlinie erlaubt es abac-test-user, abac-project-role anzunehmen.

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::111122223333:role/abac-project-role"
    }
  }

Schritt 7: Testen der Berechtigungen

Mit dieser Autorisierungsstrategie können Sie den Zugriff steuern, ohne für jeden neuen Benutzer neue Richtlinien erstellen zu müssen. Um neuen Benutzern Zugriff zu gewähren, erteilen Sie ihnen einfach die Berechtigung, die Rolle zu übernehmen, die ihrem zugewiesenen Projekt entspricht.

Schritt 8: Bereinigen Sie Ihre Ressourcen