Acciones, recursos y claves de condición para AWS Lambda - Referencia de autorizaciones de servicio
ActionsTipos de recursoClaves de condición

Acciones, recursos y claves de condición para AWS Lambda

AWS Lambda (prefijo de servicio: lambda) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

Acciones definidas por AWS Lambda

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones Descripción Nivel de acceso Tipos de recursos (*necesarios) Claves de condición Acciones dependientes
AddLayerVersionPermission Concede permiso para agregar permisos a la política basada en recursos de una versión de una capa de AWS Lambda Permissions management

layerVersion*

AddPermission Concede permiso para dar a un servicio de AWS u otra cuenta permiso para utilizar una función de AWS Lambda Permissions management

function*

lambda:Principal

lambda:FunctionUrlAuthType

CreateAlias Concede permiso para crear un alias para una versión de función de Lambda Write

function*

CreateCodeSigningConfig Concede permiso para crear una configuración de firma de código de AWS Lambda Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEventSourceMapping Concede permiso para crear una asignación entre un origen de eventos y una función de AWS Lambda Write

lambda:FunctionArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunction Concede permiso para crear una función de AWS Lambda Escritura

function*

iam:PassRole

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

lambda:CodeSigningConfigArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunctionUrlConfig Concede permiso para crear una configuración de url de función para una función Lambda Escritura

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteAlias Concede permiso para eliminar un alias de función de AWS Lambda Write

function*

DeleteCodeSigningConfig Concede permiso para eliminar una configuración de firma de código de AWS Lambda Write

code signing config*

DeleteEventSourceMapping Concede permiso para eliminar una asignación de origen de eventos de AWS Lambda Write

eventSourceMapping*

lambda:FunctionArn

DeleteFunction Concede permiso para eliminar una función de AWS Lambda Write

function*

DeleteFunctionCodeSigningConfig Concede permiso para desconectar una configuración de firma de código de una función de AWS Lambda Write

function*

DeleteFunctionConcurrency Concede permiso para eliminar un límite de ejecución simultánea de una función de AWS Lambda Write

function*

DeleteFunctionEventInvokeConfig Concede permiso para eliminar la configuración para la invocación asíncrona de una función, una versión o un alias de AWS Lambda Escritura

function*

DeleteFunctionUrlConfig Concede permiso para eliminar configuración de url de función para una función Lambda Escritura

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteLayerVersion Concede permiso para eliminar una versión de una capa de AWS Lambda Write

layerVersion*

DeleteProvisionedConcurrencyConfig Concede permiso para eliminar la configuración de simultaneidad aprovisionada para una función de AWS Lambda Write

function alias

function version

DisableReplication [solo permiso] Concede permiso para desactivar la replicación para una función de Lambda@Edge Permissions management

function*

EnableReplication [solo permiso] Concede permiso para habilitar la replicación para una función de Lambda@Edge Permissions management

function*

GetAccountSettings Concede permiso para ver detalles sobre los límites y el uso de una cuenta en una Región de AWS Read
GetAlias Concede permiso para ver detalles sobre un alias de función de AWS Lambda Read

function*

GetCodeSigningConfig Concede permiso para ver detalles sobre una configuración de firma de código de AWS Lambda Read

code signing config*

GetEventSourceMapping Concede permiso para ver detalles sobre una asignación de origen de eventos de AWS Lambda Read

eventSourceMapping*

lambda:FunctionArn

GetFunction Concede permiso para ver detalles sobre una función de AWS Lambda Read

function*

GetFunctionCodeSigningConfig Concede permiso para ver el ARN de la configuración de firma de código adjuntada a una función de AWS Lambda Read

function*

GetFunctionConcurrency Concede permiso para ver detalles sobre la configuración de simultaneidad reservada para una función Read

function*

GetFunctionConfiguration Concede permiso para ver detalles sobre la configuración específica de la versión de una función o una versión de AWS Lambda Read

function*

GetFunctionEventInvokeConfig Concede permiso para ver la configuración de invocación asincrónica de una función, versión o alias Leer

function*

GetFunctionRecursionConfig Concede permiso para ver la configuración de recursividad de una función de AWS Lambda Leer

function*

GetFunctionUrlConfig Concede permiso para leer la configuración url de función para una función Lambda Leer

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

GetLayerVersion Concede permiso para ver detalles sobre una versión de una capa de AWS Lambda. Tenga en cuenta que esta acción también es compatible con la API GetLayerVersionByArn Read

layerVersion*

GetLayerVersionPolicy Concede permiso para ver la política basada en recursos para una versión de una capa de AWS Lambda Read

layerVersion*

GetPolicy Concede permiso para ver la política basada en recursos para una función, una versión o un alias de AWS Lambda Read

function*

GetProvisionedConcurrencyConfig Concede permiso para ver la configuración de simultaneidad aprovisionada para el alias o la versión de una función de AWS Lambda Leer

function alias

function version

GetRuntimeManagementConfig Otorga permiso para ver la configuración de administración del tiempo de ejecución de una función de AWS Lambda. Leer

function*

InvokeAsync Concede permiso para invocar una función de forma asíncrona (Obsoleto) Escritura

function*

InvokeFunction Concede permiso para invocar una función de AWS Lambda Escritura

function*

lambda:EventSourceToken

InvokeFunctionUrl [solo permiso] Concede permiso para invocar una función de AWS Lambda a través de url Escritura

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

lambda:EventSourceToken

ListAliases Concede permiso para recuperar una lista de alias para una función de AWS Lambda List

function*

ListCodeSigningConfigs Concede permiso para recuperar una lista de configuraciones de firma de código de AWS Lambda List
ListEventSourceMappings Concede permiso para recuperar una lista de asignaciones de origen de eventos de AWS Lambda List
ListFunctionEventInvokeConfigs Concede permiso para recuperar una lista de configuraciones para la invocación asíncrona de una función Enumeración

function*

ListFunctionUrlConfigs Concede permiso para leer las configuraciones de url de funciones para una función Enumeración

function*

lambda:FunctionUrlAuthType

ListFunctions Concede permiso para recuperar una lista de funciones de AWS Lambda, con la configuración específica de la versión de cada función List
ListFunctionsByCodeSigningConfig Concede permiso para recuperar una lista de funciones de AWS Lambda según la configuración de firma de código asignada List

code signing config*

ListLayerVersions Concede permiso para recuperar una lista de versiones de una capa de AWS Lambda List
ListLayers Concede permiso para recuperar una lista de capas de AWS Lambda, con detalles sobre la última versión de cada una List
ListProvisionedConcurrencyConfigs Concede permiso para recuperar una lista de configuraciones de simultaneidad aprovisionadas para una función de AWS Lambda Enumeración

function*

ListTags Concede permiso para recuperar una lista de etiquetas para una función de AWS Lambda, una asignación de orígenes de eventos o un recurso de configuración de firma de código Leer

code signing config

eventSourceMapping

function

ListVersionsByFunction Concede permiso para recuperar una lista de versiones para una función de AWS Lambda List

function*

PublishLayerVersion Concede permiso para crear una capa de AWS Lambda Write

layer*

PublishVersion Concede permiso para crear una versión de una función de AWS Lambda Write

function*

PutFunctionCodeSigningConfig Concede permiso para adjuntar una configuración de firma de código a una función de AWS Lambda Write

code signing config*

function*

lambda:CodeSigningConfigArn

PutFunctionConcurrency Concede permiso para configurar la simultaneidad reservada para una función de AWS Lambda Write

function*

PutFunctionEventInvokeConfig Concede permiso para configurar opciones para la invocación asíncrona en una función, una versión o un alias de AWS Lambda Escritura

function*

PutFunctionRecursionConfig Concede permiso para actualizar la configuración de recursión de una función de AWS Lambda Escritura

function*

PutProvisionedConcurrencyConfig Concede permiso para configurar la simultaneidad aprovisionada para el alias o la versión de una función de AWS Lambda Escritura

function alias

function version

PutRuntimeManagementConfig Otorga permiso para actualizar la configuración de administración de un tiempo de ejecución de una función de AWS Lambda Escritura

function*

RemoveLayerVersionPermission Concede permiso para quitar una instrucción de la política de permisos para una versión de una capa de AWS Lambda Permissions management

layerVersion*

RemovePermission Concede permiso para revocar el permiso de uso de funciones concedido a un servicio de AWS u otra cuenta Administración de permisos

function*

lambda:Principal

lambda:FunctionUrlAuthType

TagResource Concede permiso para agregar etiquetas a una función de AWS Lambda, una asignación de orígenes de eventos o un recurso de configuración de firma de código Etiquetado

code signing config

eventSourceMapping

function

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource Concede permiso para eliminar etiquetas de una función de AWS Lambda, una asignación de orígenes de eventos o un recurso de configuración de firma de código Etiquetado

code signing config

eventSourceMapping

function

aws:TagKeys

UpdateAlias Concede permiso para actualizar la configuración del alias de una función de AWS Lambda Write

function*

UpdateCodeSigningConfig Concede permiso para actualizar una configuración de firma de código de AWS Lambda Write

code signing config*

UpdateEventSourceMapping Concede permiso para actualizar la configuración de una asignación de origen de eventos de AWS Lambda Write

eventSourceMapping*

lambda:FunctionArn

UpdateFunctionCode Concede permiso para actualizar el código de una función de AWS Lambda Write

function*

UpdateFunctionCodeSigningConfig Concede permiso para actualizar la configuración de firma de código de una función de AWS Lambda Write

code signing config*

function*

UpdateFunctionConfiguration Concede permiso para modificar la configuración específica de la versión de una función de AWS Lambda Write

function*

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

UpdateFunctionEventInvokeConfig Concede permiso para modificar la configuración para la invocación asíncrona de una función, una versión o un alias de AWS Lambda Escritura

function*

UpdateFunctionUrlConfig Concede permiso para actualizar una configuración de url de función para una función Lambda Escritura

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

Tipos de recursos definidos por AWS Lambda

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso ARN Claves de condición
code signing config arn:${Partition}:lambda:${Region}:${Account}:code-signing-config:${CodeSigningConfigId}

aws:ResourceTag/${TagKey}

eventSourceMapping arn:${Partition}:lambda:${Region}:${Account}:event-source-mapping:${UUID}

aws:ResourceTag/${TagKey}

function arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}

aws:ResourceTag/${TagKey}

function alias arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Alias}

aws:ResourceTag/${TagKey}

function version arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Version}

aws:ResourceTag/${TagKey}

layer arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}
layerVersion arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}:${LayerVersion}

Claves de condición para AWS Lambda

AWS Lambda define las siguientes claves de condición que pueden utilizarse en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición Descripción Tipo
aws:RequestTag/${TagKey} Filtra el acceso por las etiquetas que se pasan en la solicitud Cadena
aws:ResourceTag/${TagKey} Filtra el acceso por las etiquetas asociadas al recurso Cadena
aws:TagKeys Filtra el acceso por las claves de etiquetas que se pasan en la solicitud ArrayOfString
lambda:CodeSigningConfigArn Filtra el acceso según el ARN de una configuración de firma de código de AWS Lambda ARN
lambda:EventSourceToken Filtra el acceso por el ID desde una fuente sin eventos AWS configurada para la función de Lambda AWS Cadena
lambda:FunctionArn Filtra el acceso según el ARN de una función de AWS Lambda ARN
lambda:FunctionUrlAuthType Filtra el acceso por tipo de autorización especificado en la solicitud Disponible durante las operaciones CreateFunctionUrlConfig, UpdateFunctionUrlConfig, DeleteFunctionUrlConfig, GetFunctionUrlConfig, ListFunctionUrlConfig, AddPermission y RemovePermission Cadena
lambda:Layer Filtra el acceso según el ARN de una versión de una capa de AWS Lambda ArrayOfString
lambda:Principal Filtra el acceso restringiendo la cuenta o el servicio de AWS que puede invocar una función Cadena
lambda:SecurityGroupIds Filtra el acceso según el ID de los grupos de seguridad configurados para la función de AWS Lambda. ArrayOfString
lambda:SourceFunctionArn Filtra el acceso por el ARN de la función de AWS Lambda a partir de la que se originó la solicitud ARN
lambda:SubnetIds Filtra el acceso según el ID de las subredes configuradas para la función de AWS Lambda. ArrayOfString
lambda:VpcIds Filtra el acceso según el ID de la VPC configurada para la función de AWS Lambda Cadena