Kontrol akses titik akhir Fungsi Web Lambda

Anda dapat mengontrol akses ke titik akhir Fungsi AWS Lambda Web Anda menggunakan yang AuthType Anda tetapkan pada setiap titik akhir. Bergantung pada jenis autentikasi, Anda juga dapat melampirkan kebijakan berbasis sumber daya ke Fungsi Web untuk mengontrol siapa yang dapat memanggil titik akhir.

Saat Anda mengonfigurasi titik akhir, Anda menentukan salah satu AuthType opsi berikut:

Tindakan IAM untuk memanggil titik akhir adalah. lambda:InvokeWebFunctionEndpoint

Anda menetapkan jenis otentikasi endpoint dengan --auth-type parameter saat Anda membuat endpoint (create-web-function-endpoint), dan Anda dapat mengubahnya nanti dengan. update-web-function-endpoint Untuk perintah create, lihatMembuat titik akhir. Untuk properti yang dapat Anda ubah, lihatMemperbarui titik akhir.

Menggunakan jenis IamAuthotentikasi

Jika Anda memilih jenis IamAuth otentikasi, penelepon harus menandatangani setiap permintaan dengan SigV4 (Sigv4a untuk titik akhir) dan harus diizinkan untuk memanggil MultiRegion titik akhir. Bergantung pada siapa yang membuat permintaan, Anda memberikan izin ini dengan kebijakan berbasis sumber daya pada Fungsi Web, kebijakan berbasis identitas pada pemanggil, atau keduanya.

Jika pemanggil Akun AWS sama dengan Fungsi Web, mereka dapat diberikan lambda:InvokeWebFunctionEndpoint melalui kebijakan berbasis identitas atau kebijakan berbasis sumber daya fungsi. Jika penelepon berada di akun yang berbeda, mereka memerlukan kebijakan berbasis identitas yang memberikan tindakan dan kebijakan berbasis sumber daya pada fungsi yang memungkinkan mereka.

Resource-based kebijakan dilampirkan ke Fungsi Web, tetapi setiap pernyataan dapat mencakup Resource ke titik akhir ARN tertentu. Kebijakan berbasis sumber daya berikut memungkinkan InvokeRole peran dalam akun 222233334444 untuk memanggil titik akhir: prod my-function

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::222233334444:role/InvokeRole"
            },
            "Action": "lambda:InvokeWebFunctionEndpoint",
            "Resource": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/endpoint/prod"
        }
    ]
}

Untuk melampirkan kebijakan berbasis sumber daya, gunakan put-resource-policy dengan fungsi ARN (bukan ARN titik akhir):

aws lambda-web put-resource-policy \
    --resource-arn "arn:aws:lambda:us-east-1:111122223333:web-function/my-function" \
    --policy file://policy.json \
    --region us-east-1

Anda dapat meninjau atau menghapus kebijakan dengan get-resource-policy dandelete-resource-policy.

Fungsi Web memiliki satu kebijakan berbasis sumber daya, dan menggantikannya. put-resource-policy Untuk menambahkan pernyataan, seperti CloudFront pernyataan diCloudFront integrasi, dapatkan kebijakan saat iniget-resource-policy, tambahkan pernyataan ke Statement array, dan teruskan revisionId dengan yang dikembalikan--revision-id. Jika seseorang mengubah kebijakan setelah Anda membacanya, permintaan gagal dengan a ConflictException alih-alih menimpa perubahan mereka.

Untuk mengizinkan pemanggilan semua titik akhir fungsi, gunakan wildcard di ARN sumber daya:

"Resource": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/endpoint/*"

Ganti Region, ID akun, dan nama fungsi dengan nilai Anda sendiri. Tetap endpoint/* di akhir.

Memberikan izin pemanggilan kepada kepala sekolah

Penelepon lambda:InvokeWebFunctionEndpoint perlu memanggil titik akhir. Untuk pemanggil di akun yang sama dengan Fungsi Web, pemberian tindakan ini dalam kebijakan berbasis identitas pemanggil sudah cukup. Tidak diperlukan kebijakan berbasis sumber daya. Untuk pemanggil di akun lain, kebijakan berbasis identitas ini diperlukan selain kebijakan berbasis sumber daya pada fungsi yang memungkinkan mereka.

Lampirkan kebijakan berikut ke peran IAM atau pengguna yang akan memanggil titik akhir:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:InvokeWebFunctionEndpoint",
            "Resource": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/endpoint/prod"
        }
    ]
}

Menandatangani permintaan

Lambda tidak menyediakan SDK khusus untuk memanggil titik akhir. Anda mengirim permintaan HTTP standar dan menandatanganinya sendiri dengan SigV4 atau Sigv4a, menggunakan nama layanan. lambda Perhatikan hal-hal berikut:

Untuk informasi selengkapnya tentang permintaan penandatanganan, lihat Menandatangani permintaan AWS API.

Setelah Lambda memvalidasi tanda tangan Sigv4 atau Sigv4a, Lambda akan menghapus Authorization header sebelum meneruskan permintaan ke fungsi Anda. Jika Anda ingin fungsi Anda menerima Authorization header pada IamAuth titik akhir, kirim permintaan melalui CloudFront, yang menandatanganinya atas nama Anda (lihatCloudFront integrasi).

CloudFront integrasi

Anda dapat menggunakan Amazon CloudFront Origin Access Control (OAC) untuk menempatkan CloudFront distribusi di depan titik IamAuth akhir. Dengan OAC, CloudFront tandatangani setiap permintaan asal atas nama pemirsa, sehingga penelepon tidak menandatangani permintaan sendiri. CloudFront tidak menggunakan Authorization header untuk menandatangani permintaan asal, sehingga dapat meneruskan Authorization header Anda ke fungsi.

Lambda menghapus Authorization nilai apa pun yang merupakan AWS tanda tangan (nilai yang dimulai denganAWS4-). Ini memungkinkan Anda menyimpan otentikasi aplikasi Anda (misalnya, JWT atau cookie) sambil CloudFront menandatangani setiap permintaan asal. Untuk melakukan ini, konfigurasikan distribusi untuk meneruskan Authorization header. Untuk informasi selengkapnya, lihat Membatasi akses ke AWS asal.

Domain endpoint tetap dapat dijangkau di internet, dan Lambda juga menerima permintaan langsung yang ditandatangani dari prinsipal mana pun yang diizinkan oleh kebijakan Anda.

Ini membutuhkan jenis otentikasi titik akhir. IamAuth Buat kontrol akses asal dengan tipe asal lambda dan perilaku penandatangananalways-amz-auth. CloudFront menolak perilaku penandatanganan lain untuk asal Fungsi Web.

Untuk memungkinkan CloudFront untuk memanggil titik akhir, lampirkan kebijakan berbasis sumber daya ke Fungsi Web yang memberikan prinsip layanan () tindakan. CloudFront cloudfront.amazonaws.com lambda:InvokeWebFunctionEndpoint Gunakan aws:SourceArn kondisi untuk hanya mengizinkan distribusi spesifik Anda:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontOACAccess",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "lambda:InvokeWebFunctionEndpoint",
            "Resource": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/endpoint/prod",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<distribution-id>"
                }
            }
        }
    ]
}

Menggunakan jenis ApplicationManagedotentikasi

Ketika jenis otentikasi endpoint adalahApplicationManaged, siapa pun dengan domain endpoint dapat memanggil fungsi Anda. Lambda tidak melakukan otentikasi atau otorisasi.

Pilih ApplicationManaged kapan titik akhir Anda dapat dijangkau oleh publik, misalnya, untuk melayani permintaan langsung dari browser web. Anda juga dapat memilihnya saat menangani otentikasi dalam kode Anda sendiri, seperti OAuth 2.0, OpenID Connect, atau skema token khusus.

Dengan jenis otentikasi ini:

Tata kelola dan kontrol akses

Anda dapat mengontrol siapa yang dapat mengonfigurasi titik akhir.

Lambda mendukung tindakan IAM berikut untuk mengelola titik akhir:

Untuk mengizinkan atau menolak tindakan berdasarkan jenis otentikasi, gunakan kunci kondisi. lambda:Request/WebFunctionAuthTypeberlaku untukCreateWebFunction,CreateWebFunctionEndpoint, danUpdateWebFunctionEndpoint. lambda:Resource/WebFunctionAuthTypeberlaku untuk InvokeWebFunctionEndpoint (pada IamAuth titik akhir),, UpdateWebFunctionEndpointGetWebFunctionEndpoint, danDeleteWebFunctionEndpoint. Lihat perinciannya di Kunci syarat.

Membatasi titik akhir publik dalam suatu organisasi

Jika Anda mengelola AWS Organisasi dan ingin mencegah pengembang membuat titik akhir publik, gunakan kebijakan kontrol layanan (SCP) yang menolak membuat atau memperbarui titik akhir dengan jenis otentikasi. ApplicationManaged Gunakan tombol lambda:Request/WebFunctionAuthType kondisi, yang mencerminkan jenis otentikasi dalam permintaan:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "lambda:CreateWebFunction",
                "lambda:CreateWebFunctionEndpoint",
                "lambda:UpdateWebFunctionEndpoint"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "lambda:Request/WebFunctionAuthType": "ApplicationManaged"
                }
            }
        }
    ]
}

Kebijakan termasuk lambda:CreateWebFunction karena operasi tersebut membuat titik akhir awal dari permintaan. endpointConfig Dengan kebijakan ini, aws lambda-web deploy gagal dengan kesalahan akses ditolak kecuali pengembang menambahkan--auth-type IamAuth. Secara default, perintah membuat ApplicationManaged titik akhir.

Kunci syarat

Untuk kontrol akses berbutir halus, Lambda mendukung kunci konteks kondisi berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:InvokeWebFunctionEndpoint",
            "Resource": "arn:aws:lambda:us-east-1:111122223333:web-function/*/endpoint/prod",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Environment": "Production"
                }
            }
        }
    ]
}