Sécurisation de vos fonctions par balise

Les étapes suivantes illustrent une façon de configurer des autorisations pour les fonctions à l’aide d’ABAC. Dans cet exemple de scénario, vous allez créer quatre stratégies d’autorisations IAM. Vous allez ensuite associer ces stratégies à un nouveau rôle IAM. Enfin, vous allez créer un utilisateur IAM et lui donner l’autorisation d’assumer le nouveau rôle.

Prérequis

Assurez-vous que vous disposez d’un rôle d’exécution Lambda. Vous utiliserez ce rôle lorsque vous accorderez des autorisations IAM et lorsque vous créerez une fonction Lambda.

Étape 1 : Exiger des balises pour les nouvelles fonctions

Lorsque vous utilisez ABAC avec Lambda, il est recommandé d’exiger que toutes les fonctions comportent des balises. Cela permet de garantir que vos politiques d’autorisation ABAC fonctionnent comme prévu.

Créez une stratégie IAM similaire à l’exemple suivant : Cette politique utilise les clés de condition aws:RequestTag/tag-key, aws:ResourceTag/tag-key, et aws:TagKeys pour exiger que les nouvelles fonctions et le principal IAM créant les fonctions possèdent tous deux la balise project. Le ForAllValues modificateur garantit que project est la seule balise autorisée. Si vous n’incluez pasForAllValues, les utilisateurs peuvent ajouter d’autres balises à la fonction tant qu’ils transmettent également project.

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": [
        "lambda:CreateFunction",
        "lambda:TagResource"
      ],
      "Resource": "arn:aws:lambda:*:*:function:*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": "${aws:PrincipalTag/project}",
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": "project"
        }
      }
    }
  }

Étape 2 : Autoriser les actions en fonction des balises attachées à une fonction Lambda et à un principal IAM

Créez une deuxième stratégie IAM à l’aide de aws:ResourceTag/tag-key pour exiger que la balise du mandataire corresponde à la balise attachée à la fonction. L’exemple de stratégie suivant autorise les mandataires avec la balise project pour appeler des fonctions avec la balise project. Si une fonction possède d’autres balises, l’action est refusée.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "lambda:InvokeFunction",
          "lambda:GetFunction"
        ],
        "Resource": "arn:aws:lambda:*:*:function:*",
        "Condition": {
          "StringEquals": {
            "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
          }
        }
      }
    ]
  }

Étape 3 : Accorder des permissions de liste

Créez une stratégie qui permet au mandataire de répertorier les fonctions Lambda et les rôles IAM. Cela permet au mandataire de voir toutes les fonctions Lambda et les rôles IAM sur la console et lors de l’appel des actions d’API.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "AllResourcesLambdaNoTags",
        "Effect": "Allow",
        "Action": [
          "lambda:GetAccountSettings",
          "lambda:ListFunctions",
          "iam:ListRoles"
        ],
        "Resource": "*"
      }
    ]
  }

Étape 4 : accorder des autorisations IAM

Créez une stratégie favorable à iam:PassRole. Cette autorisation est requise lorsque vous attribuez un rôle d’exécution à une fonction. Dans l’exemple de stratégie suivant, remplacez l’exemple d’ARN par l’ARN de votre rôle d’exécution Lambda.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
          "iam:PassRole"
        ],
        "Resource": "arn:aws:iam::111122223333:role/lambda-ex"
      }
    ]
  }

Étape 5 : Création du rôle IAM

C’est une bonne pratique d’utilisation des rôles pour déléguer des autorisations. Créer un rôle IAM appelé abac-project-role :

Étape 6 : Création d’un utilisateur IAM

Création d’un utilisateur IAM appeléabac-test-user. Sur la page Définir des autorisations, choisissez Attacher directement les stratégies existantes, puis choisissez Créer une stratégie. Entrez la définition de politique suivante. Remplacez 111122223333 par votre AWSID de compte. Cette stratégie permet à abac-test-user d’assumer abac-project-role.

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::111122223333:role/abac-project-role"
    }
  }

Étape 7 : Tester les autorisations

Cette stratégie d’autorisation vous permet de contrôler l’accès sans créer de nouvelles politiques pour chaque nouvel utilisateur. Pour accorder l’accès à de nouveaux utilisateurs, il suffit de leur donner l’autorisation d’assumer le rôle qui correspond au projet qui leur a été attribué.

Étape 8 : Nettoyer vos ressources