Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo dell'accesso agli URL della funzione Lambda

Puoi controllare l'accesso agli URL della funzione Lambda utilizzando il parametro AuthType combinato con policy basate sulle risorse collegate alla funzione specifica. La configurazione di questi due componenti determina chi può richiamare o eseguire altre azioni amministrative sull'URL della funzione.

Il parametro AuthType determina il modo in cui Lambda autentica o autorizza le richieste all'URL della funzione. Quando configuri l'URL della funzione, è necessario specificare una delle seguenti opzioni AuthType:

Per ulteriori informazioni sulla sicurezza, puoi utilizzarla AWS Identity and Access Management Access Analyzer per ottenere un'analisi completa dell'accesso esterno all'URL della tua funzione. IAM Access Analyzer controlla inoltre le autorizzazioni nuove o aggiornate sulle funzioni Lambda per aiutarti a identificare le autorizzazioni che garantiscono l'accesso pubblico e tra account. Puoi utilizzare IAM Access Analyzer gratuitamente. Per le nozioni di base su IAM Access Analyzer, consulta Utilizzo di AWS IAM Access Analyzer.

Questa pagina contiene esempi di policy basate sulle risorse per entrambi i tipi di autenticazione e come crearle utilizzando l'operazione AddPermission API o la console Lambda. Per informazioni su come richiamare l'URL della funzione dopo aver impostato le autorizzazioni, consulta. Richiamo di URL di funzioni Lambda

Utilizzo del tipo di autenticazione AWS_IAM

Se scegli il tipo di autenticazione AWS_IAM, gli utenti che hanno bisogno di richiamare l'URL della funzione Lambda devono avere le autorizzazioni lambda:InvokeFunctionUrl e lambda:InvokeFunction. A seconda di chi effettua la richiesta di invocazione, potrebbe essere necessario concedere questa autorizzazione utilizzando una policy basata sulle risorse.

Se il principale che effettua la richiesta è lo Account AWS stesso dell'URL della funzione, deve disporre delle lambda:InvokeFunction autorizzazioni nella propria politica basata sull'identità o avere lambda:InvokeFunctionUrl le autorizzazioni concesse nella politica basata sulle risorse della funzione. In altre parole, una policy basata sulle risorse è facoltativa se l'utente ha già autorizzazioni lambda:InvokeFunctionUrl e lambda:InvokeFunction nella policy basata sull'identità. La valutazione delle politiche segue le regole delineate nella logica di valutazione delle politiche. https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html

Se il principal che effettua la richiesta si trova in un account diverso, il principal deve avere sia una policy basata sull'identità che fornisce autorizzazioni lambda:InvokeFunctionUrl e lambda:InvokeFunction, sia autorizzazioni concesse in una policy basata sulle risorse nella funzione che si sta tentando di invocare. La valutazione delle politiche segue le regole delineate in Determinare se è consentita una richiesta tra più account.

La seguente politica basata sulle risorse consente al example ruolo in di richiamare l'URL della funzione associato Account AWS 444455556666 alla funzione. my-function Il tasto lambda: InvokedViaFunctionUrl context limita l'azione alle chiamate URL della lambda:InvokeFunction funzione. Ciò significa che il principale deve utilizzare l'URL della funzione per richiamare la funzione. Se non includilambda:InvokedViaFunctionUrl, il principale può richiamare la tua funzione tramite altri metodi di richiamo, oltre all'URL della funzione.

È possibile creare questa politica basata sulle risorse tramite la console utilizzando i seguenti passaggi:

In alternativa, puoi creare questa policy utilizzando i seguenti comandi add-permission AWS Command Line Interface ()AWS CLI. Quando si utilizza il AWS CLI, è necessario aggiungere le lambda:InvokeFunction istruzioni lambda:InvokeFunctionUrl and separatamente. Ad esempio:

aws lambda add-permission --function-name my-function \
  --statement-id UrlPolicyInvokeURL \
  --action lambda:InvokeFunctionUrl \
  --principal 444455556666 \
  --function-url-auth-type AWS_IAM

aws lambda add-permission --function-name my-function \
  --statement-id UrlPolicyInvokeFunction \
  --action lambda:InvokeFunction \
  --principal 444455556666 \
  --invoked-via-function-url

Utilizzo del tipo di autenticazione NONE

In alcuni casi, potresti volere che l'URL della tua funzione sia pubblico. Ad esempio, potrebbe essere preferibile inviare le richieste effettuate direttamente da un browser Web. Per consentire l'accesso pubblico all'URL della funzione, scegli il tipo di autenticazione NONE.

Se scegli il tipo di autenticazione NONE, Lambda non utilizza IAM per autenticare le richieste all'URL della funzione. Tuttavia, la funzione deve disporre di una politica basata sulle risorse che consenta e. lambda:InvokeFunctionUrl lambda:InvokeFunction Quando crei un URL di funzione con tipo di autenticazione NONE utilizzando la console or AWS Serverless Application Model (AWS SAM), Lambda crea automaticamente la policy basata sulle risorse per te. Se stai utilizzando direttamente la AWS CLI, AWS CloudFormation, o l'API Lambda, devi aggiungere tu stesso la policy.

Ti consigliamo di includere la chiave lambda: InvokedViaFunctionUrl context nelle tue policy basate sulle risorse quando usi il tipo di autenticazione. NONE Questa chiave di contesto garantisce che la funzione possa essere richiamata solo tramite l'URL della funzione e non tramite altri metodi di richiamo.

Nota quanto segue su questa politica:

Crea la politica basata sulle risorse utilizzando AWS CLI

A meno che non utilizzi la console o non AWS SAM crei un URL di funzione con tipo di autenticazioneNONE, devi aggiungere tu stesso la policy basata sulle risorse. Usa i comandi seguenti per creare istruzioni con le autorizzazioni lambda:InvokeFunctionUrl e lambda:InvokeFunction. Ogni istruzione deve essere aggiunta in un comando separato.

aws lambda add-permission \
  --function-name UrlTestFunction \
  --statement-id UrlPolicyInvokeURL \
  --action lambda:InvokeFunctionUrl \
  --principal * \
  --function-url-auth-type NONE

aws lambda add-permission \
  --function-name UrlTestFunction \
  --statement-id UrlPolicyInvokeFunction \
  --action lambda:InvokeFunction \
  --principal * \
  --invoked-via-function-url

Se la policy basata sulle risorse di una funzione non concede lambda:invokeFunctionUrl lambda:InvokeFunction autorizzazioni, gli utenti ricevono un codice di errore 403 Forbidden quando tentano di richiamare l'URL della funzione. Ciò si verifica anche se l'URL della funzione utilizza il tipo di autenticazione. NONE

Governance e controllo degli accessi

Oltre alle autorizzazioni di richiamo degli URL della funzione, puoi anche controllare l'accesso alle azioni utilizzate per configurare gli URL della funzione. Lambda supporta le seguenti azioni delle policy IAM per gli URL della funzione:

Per consentire o negare l'accesso all'URL della funzione ad altre AWS entità, includi queste azioni nelle policy IAM. Ad esempio, la seguente policy concede il example ruolo nelle Account AWS 444455556666 autorizzazioni per aggiornare l'URL della funzione per la funzione nell'account. my-function 123456789012

Chiavi di condizione

Per un controllo granulare dell'accesso agli URL delle funzioni, utilizza le chiavi di contesto delle condizioni. Lambda supporta i seguenti tasti di contesto per gli URL delle funzioni:

Puoi utilizzare queste chiavi di contesto nelle politiche associate alla tua funzione. Ad esempio, è preferibile limitare chi può apportare modifiche alla configurazione degli URL della funzione. Per negare tutte le richieste UpdateFunctionUrlConfig a qualsiasi funzione con tipo di autenticazione URL NONE, è possibile definire la seguente policy:

Per concedere il example ruolo nelle Account AWS 444455556666 autorizzazioni da effettuare CreateFunctionUrlConfig e nelle UpdateFunctionUrlConfig richieste sulle funzioni con tipo di autenticazione URLAWS_IAM, puoi definire la seguente politica:

È inoltre possibile utilizzare questa chiave di condizione in una policy di controllo dei servizi (SCP). Utilizzare SCP per gestire le autorizzazioni di un'intera organizzazione in AWS Organizations. Ad esempio, per negare agli utenti di creare o aggiornare gli URL della funzione che utilizzano qualcosa di diverso dal tipo di autenticazione AWS_IAM, utilizzare i seguenti criteri di controllo dei servizi: