# 실행 역할로 Lambda 함수 권한 정의
Lambda 함수의 실행 역할은 AWS 서비스 및 리소스에 액세스할 수 있는 권한을 함수에 부여하는 AWS Identity and Access Management(IAM) 역할입니다. Amazon CloudWatch에 로그를 전송하고, AWS X-Ray에 추적 데이터를 업로드하는 권한을 가진 실행 역할을 만들 수 있습니다. 이 페이지에서는 Lambda 함수의 실행 역할을 생성하고 보고 관리하는 방법에 대한 정보를 제공합니다.
자신의 함수를 간접 호출하면 Lambda는 자동으로 실행 역할을 맡습니다. 함수 코드에서 실행 역할을 수임하기 위해 수동으로 `sts:AssumeRole`을 직접 호출하는 것을 피해야 합니다. 사용 사례에서 역할을 맡아야 하는 경우 자신의 역할의 신뢰 정책에, 역할 자체를 신뢰할 수 있는 보안 주체로 포함해야 합니다. 역할 신뢰 정책을 수정하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 [역할 신뢰 정책 수정(콘솔)](https://docs.aws.amazon.com/IAM/latest/UserGuide/roles-managingrole-editing-console.html#roles-managingrole_edit-trust-policy)을 참조하세요.
Lambda가 실행 역할을 제대로 수임하려면 역할의 [신뢰 정책](#permissions-executionrole-api)에서 Lambda 서비스 주체(`lambda.amazonaws.com`)를 신뢰할 수 있는 서비스로 지정해야 합니다.
**Topics**
+ [IAM 콘솔에서 실행 역할 생성](#permissions-executionrole-console)
+ [AWS CLI로 사용하여 역할 생성 및 관리](#permissions-executionrole-api)
+ [Lambda 실행 역할에 최소 권한 액세스 부여](#permissions-executionrole-least-privilege)
+ [실행 역할의 권한 보기 및 업데이트](permissions-executionrole-update.md)
+ [실행 역할에서 AWS 관리형 정책 작업](permissions-managed-policies.md)
+ [소스 함수 ARN을 사용하여 함수 액세스 동작 제어](permissions-source-function-arn.md)
## IAM 콘솔에서 실행 역할 생성
기본적으로 Lambda는 [Lambda 콘솔에서 함수를 생성](getting-started.md#getting-started-create-function)할 때 최소한의 권한으로 실행 역할을 생성합니다. 특히 이 실행 역할에는 함수에 Amazon CloudWatch Logs에 이벤트를 기록할 수 있는 기본 권한을 부여하는 [`AWSLambdaBasicExecutionRole` 관리형 정책](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaBasicExecutionRole.html)이 포함되어 있습니다. **권한** 섹션에서 **기본 역할 생성**을 선택할 수 있습니다.
**권한 섹션**에서 **다른 역할 사용**을 선택하여 기존 역할을 선택할 수 있습니다. 이벤트에 대한 응답으로 Amazon DynamoDB 데이터베이스의 항목 업데이트와 같은 태스크를 수행할 추가 권한이 Lambda 함수에 필요한 경우 필요한 권한이 있는 사용자 지정 실행 역할을 생성할 수 있습니다. 이렇게 하려면 **권한** 섹션에서 **다른 역할 사용**을 선택합니다. 그러면 권한을 사용자 지정할 수 있는 드로어가 열립니다.
**콘솔에서 실행 역할을 구성하는 방법**
1. 역할 세부 정보 섹션에서 **역할 이**름을 입력합니다.
1. **정책** 섹션에서 **기존 정책 사용**을 선택합니다.
1. 역할에 연결할 AWS 관리형 정책을 선택합니다. 예를 들어 함수가 DynamoDB에 액세스해야 하는 경우 **AWSLambdaDynamoDBExecutionRole** 관리형 정책을 선택하세요.
1. **역할 생성**을 선택합니다.
또는 [Lambda 콘솔에서 함수를 생성](https://docs.aws.amazon.com/lambda/latest/dg/getting-started.html#getting-started-create-function)할 때 이전에 생성한 모든 실행 역할을 함수에 연결할 수 있습니다. 기존 함수에 새 실행 역할을 연결하려면 [함수의 실행 역할 업데이트](permissions-executionrole-update.md)의 단계를 따르세요.
## AWS CLI로 사용하여 역할 생성 및 관리
AWS Command Line Interface(AWS CLI)를 사용하여 실행 역할을 생성하려면 **create-role** 명령을 사용합니다. 이 명령을 사용할 때는 신뢰 정책 인라인을 지정할 수 있습니다. 역할의 신뢰 정책은 지정된 보안 주체에게 역할을 맡을 수 있는 권한을 부여합니다. 다음 예에서는 Lambda 서비스 보안 주체에게 자신의 역할을 맡을 권한을 부여합니다. JSON 문자열의 이스케이프 따옴표 요구 사항은 셸에 따라 다릅니다.
```
aws iam create-role \
--role-name lambda-ex \
--assume-role-policy-document '{"Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Principal": {"Service": "lambda.amazonaws.com"}, "Action": "sts:AssumeRole"}]}'
```
별도의 JSON 파일을 사용하여 역할에 대한 신뢰 정책을 정의할 수도 있습니다. 다음 예제에서 `trust-policy.json`은 최신 디렉터리의 파일입니다.
**Example trust-policy.json**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "lambda.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
```
aws iam create-role \
--role-name lambda-ex \
--assume-role-policy-document file://trust-policy.json
```
역할에 권한을 추가하려면 **attach-policy-to-role** 명령을 사용하세요. 다음 명령은 `AWSLambdaBasicExecutionRole` 관리형 정책을 `lambda-ex` 실행 역할에 추가합니다.
```
aws iam attach-role-policy --role-name lambda-ex --policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole
```
실행 역할을 생성한 후 함수에 연결합니다. [Lambda 콘솔에서 함수를 생성](getting-started.md#getting-started-create-function)할 때 이전에 생성한 모든 실행 역할을 함수에 연결할 수 있습니다. 기존 함수에 새 실행 역할을 연결하려면 [함수의 실행 역할 업데이트](permissions-executionrole-update.md#update-execution-role)의 단계를 따르세요.
## Lambda 실행 역할에 최소 권한 액세스 부여
개발 단계 중에 Lambda에 대한 IAM 역할을 처음 생성하는 경우 간혹 필요 이상의 권한을 부여하게 될 수 있습니다. 모범 사례로 프로덕션 환경에 함수를 게시하기 전에 필요한 권한만 포함하도록 정책을 조정하는 것이 가장 좋습니다. 자세한 정보는 *IAM 사용 설명서*의 [최소 권한 적용](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege)을 참조하세요.
IAM Access Analyzer를 사용하면 IAM 실행 역할 정책에 필요한 권한을 식별하는 데 도움이 될 수 있습니다. IAM Access Analyzer는 지정한 날짜 범위에 걸친 AWS CloudTrail 로그를 검토하여 해당 기간 동안 함수가 사용했던 권한만을 포함한 정책 템플릿을 생성합니다. 템플릿을 사용하여 세분화된 권한을 가진 관리형 정책을 생성한 다음 IAM 역할에 연결할 수 있습니다. 이렇게 하면 특정 사용 사례에 따라 역할이 AWS 리소스와 상호 작용하는 데 필요한 권한만 부여할 수 있습니다.
자세한 내용은 *IAM 사용 설명서*에서 [액세스 활동을 기반으로 정책 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_generate-policy.html)을 참조하세요.
# 실행 역할의 권한 보기 및 업데이트
이 항목에서는 함수의 [실행 역할](lambda-intro-execution-role.md)을 보고 업데이트하는 방법을 다룹니다.
**Topics**
+ [함수의 실행 역할 보기](#view-execution-role)
+ [함수의 실행 역할 업데이트](#update-execution-role)
## 함수의 실행 역할 보기
함수의 실행 역할을 보려면 Lambda 콘솔을 사용하세요.
**함수의 실행 역할을 보려면 다음을 수행하세요(콘솔).**
1. Lambda 콘솔의 [함수 페이지](https://console.aws.amazon.com/lambda/home#/functions)를 엽니다.
1. 함수의 이름을 선택합니다.
1. **구성(Configuration)**을 선택한 다음 **권한(Permissions)**을 선택합니다.
1. **실행 역할**에서 함수의 실행 역할로 현재 사용되고 있는 역할을 볼 수 있습니다. 편의를 위해 **리소스 요약** 섹션에서 함수가 액세스할 수 있는 모든 리소스와 작업을 볼 수 있습니다. 드롭다운 목록에서 서비스를 선택하여 해당 서비스와 관련된 모든 권한을 확인할 수 있습니다.
## 함수의 실행 역할 업데이트
언제든지 함수의 실행 역할에서 원한을 추가하거나 제거할 수 있으며, 다른 역할에 사용하도록 함수를 구성할 수 있습니다. 함수가 다른 서비스나 리소스에 액세스해야 하는 경우 실행 역할에 필수 권한을 추가해야 합니다.
함수에 권한을 추가할 때 코드나 구성에 대한 간단한 업데이트도 수행하세요. 그러면 자격 증명이 오래된 함수의 인스턴스 실행이 중지 및 대체됩니다.
함수의 실행 역할을 업데이트하려면 Lambda 콘솔을 사용하세요.
**함수의 실행 역할을 업데이트하려면 다음을 수행하세요(콘솔).**
1. Lambda 콘솔의 [함수 페이지](https://console.aws.amazon.com/lambda/home#/functions)를 엽니다.
1. 함수의 이름을 선택합니다.
1. **구성(Configuration)**을 선택한 다음 **권한(Permissions)**을 선택합니다.
1. **실행 역할**에서 **편집**을 선택합니다.
1. 다른 역할을 실행 역할로 사용하도록 함수를 업데이트하려면 **기존 역할** 아래의 드롭다운 메뉴에서 새 역할을 선택합니다.
**참고**
기존 실행 역할 내에서 권한을 업데이트하려는 경우 AWS Identity and Access Management(IAM) 콘솔에서만 가능합니다.
실행 역할로 사용할 새 역할을 생성하려면 **실행 역할** 아래의 **AWS 정책 템플릿에서 새 역할 생성**을 선택합니다. 그런 다음 **역할 이름** 아래에 새 역할의 이름을 입력하고 **정책 템플릿** 아래에서 새 역할에 연결할 정책을 지정합니다.
1. **Save**(저장)를 선택합니다.
# 실행 역할에서 AWS 관리형 정책 작업
다음 AWS 관리형 정책은 Lambda 기능을 사용하는 데 필요한 권한을 제공합니다.
| 변경 사항 | 설명 | 날짜 |
| --- | --- | --- |
| **[ AWSLambdaMSKExecutionRole](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AWSLambdaMSKExecutionRole)** – Lambda에서 이 정책에 [kafka:DescribeClusterV2](https://docs.aws.amazon.com/MSK/2.0/APIReference/v2-clusters-clusterarn.html#v2-clusters-clusterarnget) 권한을 추가했습니다. | `AWSLambdaMSKExecutionRole`은 Amazon Managed Streaming for Apache Kafka(Amazon MSK) 클러스터에서 레코드를 읽고 액세스하고, 탄력적 네트워크 인터페이스(ENI)를 관리하고, CloudWatch 로그에 쓸 수 있는 권한을 부여합니다. | 2022년 6월 17일 |
| **[ AWSLambdaBasicExecutionRole](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AWSLambdaBasicExecutionRole`은 CloudWatch에 로그를 업로드할 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ AWSLambdaDynamoDBExecutionRole](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AWSLambdaDynamoDBExecutionRole)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AWSLambdaDynamoDBExecutionRole`은 Amazon DynamoDB Stream에서 레코드를 읽고 CloudWatch 로그에 쓸 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ AWSLambdaKinesisExecutionRole](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AWSLambdaKinesisExecutionRole)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AWSLambdaKinesisExecutionRole`은 Amazon Kinesis 데이터 스트림에서 이벤트를 읽고 CloudWatch 로그에 쓸 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ AWSLambdaMSKExecutionRole](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AWSLambdaMSKExecutionRole)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AWSLambdaMSKExecutionRole`은 Amazon Managed Streaming for Apache Kafka(Amazon MSK) 클러스터에서 레코드를 읽고 액세스하고, 탄력적 네트워크 인터페이스(ENI)를 관리하고, CloudWatch 로그에 쓸 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ AWSLambdaSQSQueueExecutionRole](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AWSLambdaSQSQueueExecutionRole)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AWSLambdaSQSQueueExecutionRole`은 Amazon Simple Queue Service(Amazon SQS) 대기열에서 메시지를 읽고 CloudWatch 로그에 쓸 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ AWSLambdaVPCAccessExecutionRole](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AWSLambdaVPCAccessExecutionRole)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AWSLambdaVPCAccessExecutionRole`은 Amazon VPC 내에서 ENI를 관리하고 CloudWatch 로그에 쓸 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ AWSXRayDaemonWriteAccess](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSXRayDaemonWriteAccess)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AWSXRayDaemonWriteAccess`는 추적 데이터를 X-Ray에 업로드할 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ CloudWatchLambdaInsightsExecutionRolePolicy](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/CloudWatchLambdaInsightsExecutionRolePolicy)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `CloudWatchLambdaInsightsExecutionRolePolicy`는 CloudWatch Lambda Insights에 런타임 지표를 쓸 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
| **[ AmazonS3ObjectLambdaExecutionRolePolicy](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/service-role/AmazonS3ObjectLambdaExecutionRolePolicy)** – Lambda가 이 정책의 변경 사항 추적을 시작했습니다. | `AmazonS3ObjectLambdaExecutionRolePolicy`는 Amazon Simple Storage Service(Amazon S3) 객체 Lambda와 상호 작용하고 CloudWatch 로그에 쓸 수 있는 권한을 부여합니다. | 2022년 2월 14일 |
일부 기능의 경우 Lambda 콘솔은 고객 관리형 정책의 실행 역할에 누락된 권한을 추가하려고 시도합니다. 이러한 정책은 많아질 수 있습니다. 추가 정책을 만들지 않도록 기능을 활성화하기 전에 실행 역할에 관련된 AWS 관리형 정책을 추가합니다.
[이벤트 소스 매핑](invocation-eventsourcemapping.md)을 사용하여 함수를 호출할 경우 Lambda는 실행 역할을 사용해 이벤트 데이터를 읽습니다. 예를 들어 Kinesis에 대한 이벤트 소스 매핑은 데이터 스트림의 이벤트를 읽고 이를 함수에 배치(batch)로 전송합니다.
서비스가 계정에서 역할을 맡은 경우, 역할 신뢰 정책의 `aws:SourceAccount` 및 `aws:SourceArn` 전역 조건 컨텍스트 키를 포함하여 역할에 대한 액세스를 예상 리소스에 의해 생성된 요청으로만 제한할 수 있습니다. 자세한 내용은 [AWS Security Token Service에 대한 교차 서비스 혼동된 대리자 예방](https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html#cross-service-confused-deputy-prevention)을 참조하세요.
AWS 관리형 정책 외에도 Lambda 콘솔은 추가 사용 사례와 관련된 권한을 가진 사용자 지정 정책을 생성하는 템플릿을 제공합니다. Lambda 콘솔에서 함수를 생성할 때 하나 이상의 템플릿의 권한을 사용하여 새로운 실행 역할을 만들 수 있습니다. 블루프린트에서 함수를 생성하거나, 다른 서비스에 액세스해야 하는 옵션을 구성할 때 이러한 템플릿도 자동으로 적용됩니다. 예제 템플릿은 이 설명서의 [GitHub 리포지토리](https://github.com/awsdocs/aws-lambda-developer-guide/tree/master/iam-policies)에서 구할 수 있습니다.
# 소스 함수 ARN을 사용하여 함수 액세스 동작 제어
Lambda 함수 코드가 다른 AWS 서비스에 API 요청을 전송하는 일은 일반적인 작업입니다. 이러한 요청을 수행하기 위해 Lambda는 함수의 실행 역할을 가정하여 휘발성 자격 증명 세트를 생성합니다. 이러한 보안 인증 정보는 함수를 호출할 때 환경 변수로 사용할 수 있습니다. AWS SDK로 작업할 때는 코드에서 직접 SDK의 보안 인증 정보를 제공할 필요가 없습니다. 기본적으로 보안 인증 공급자 체인은 사용자가 보안 인증 정보를 설정할 수 있는 각 위치를 순차적으로 확인하고, 일반적으로 환경 변수(`AWS_ACCESS_KEY_ID`, `AWS_SECRET_ACCESS_KEY` 및 `AWS_SESSION_TOKEN`)인 사용 가능한 첫 번째 위치를 선택합니다.
Lambda는 요청이 실행 환경 내에서 오는 AWS API 요청인 경우 소스 함수 ARN을 보안 인증 컨텍스트에 삽입합니다. 또한 Lambda는 실행 환경 외부에서 Lambda가 사용자를 대신하여 실행하는 다음 AWS API 요청의 소스 함수 ARN를 주입합니다.
| 서비스 | 작업 | 이유 |
| --- | --- | --- |
| CloudWatch Logs | CreateLogGroup, CreateLogStream, PutLogEvents | CloudWatch Logs 로그 그룹에 로그를 저장하려면 |
| X-Ray | PutTraceSegments | 추적 데이터를 X-Ray로 전송하려면 |
| Amazon EFS | ClientMount | 함수를 Amazon Elastic File System(Amazon EFS) 파일 시스템에 연결하려면 |
Lambda가 같은 실행 역할을 사용하여 사용자를 대신하여 실행 환경 외부에서 실행하는 다른 AWS API 호출은 소스 함수 ARN를 포함하지 않습니다. 실행 환경 외부에서의 해당 API 호출의 예는 다음과 같습니다.
+ AWS Key Management Service(AWS KMS)을(를) 호출하여 환경 변수를 자동으로 암호화 및 복호화합니다.
+ Amazon Elastic Compute Cloud(Amazon EC2)를 호출하여 VPC 지원 함수에 대해 탄력적 네트워크 인터페이스(ENI)를 생성합니다.
+ Amazon Simple Queue Service(Amazon SQS)와 같은 AWS 서비스에 대한 직접 호출. 이를 통해 [이벤트 소스 매핑](invocation-eventsourcemapping.md)으로 설정된 이벤트 소스에서 데이터를 읽습니다.
자격 증명 콘텍스트에서 소스 함수 ARN를 사용하여 리소스에 대한 호출이 특정 Lambda 함수의 코드에서 왔는지 여부를 확인할 수 있습니다. 이를 확인하려면 IAM ID 기반 정책 또는 [서비스 제어 정책(SCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)의 `lambda:SourceFunctionArn` 조건 키를 사용하세요.
**참고**
리소스 기반 정책의 `lambda:SourceFunctionArn` 조건 키를 사용할 수 없습니다.
자격 증명 기반 정책 또는 SCP에서 이 조건 키를 사용하여 함수 코드가 다른 AWS 서비스에 수행하는 API 작업에 대한 보안 제어를 구현할 수 있습니다. 여기에는 자격 증명 유출의 원인을 식별하는 데 도움이 되는 몇 가지 주요 보안 애플리케이션이 있습니다.
**참고**
`lambda:SourceFunctionArn` 조건 키가 `lambda:FunctionArn` 및 `aws:SourceArn` 조건 키와 다릅니다. `lambda:FunctionArn` 조건 키는 [이벤트 소스 매핑](invocation-eventsourcemapping.md)에만 적용되고 이벤트 소스가 간접 호출할 수 있는 함수를 정의하는 데 도움이 됩니다. `aws:SourceArn` 조건 키는 Lambda 함수가 대상 리소스인 정책에만 적용되며 AWS 서비스 및 리소스가 해당 함수를 간접 호출하도록 정의하도록 돕습니다. `lambda:SourceFunctionArn` 조건 키는 모든 자격 증명 기반 정책 또는 SCP에 적용하여 다른 리소스에 대한 특정 AWS API 호출 권한을 가진 특정 Lambda 함수를 정의할 수 있습니다.
정책에서 `lambda:SourceFunctionArn`을(를) 사용하려면 [ARN 조건 연산자](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_ARN) 중 하나를 포함하는 조건으로 포함하십시오. 키 값은 유효한 ARN이어야 합니다.
예를 들어, Lambda 함수 코드가 특정 Amazon S3 버킷을 대상으로 하는 `s3:PutObject` 호출을 한다고 합시다. 하나의 특정 Lambda 함수만 해당 버킷에 `s3:PutObject` 액세스하게 허용한다고 합시다. 이 경우 함수의 실행 역할에 다음과 같은 정책이 연결되어 있어야 합니다.
**Example Amazon S3 리소스에 대한 특정 Lambda 함수 액세스 권한을 부여하는 정책**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ExampleSourceFunctionArn",
"Effect": "Allow",
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::lambda_bucket/*",
"Condition": {
"ArnEquals": {
"lambda:SourceFunctionArn": "arn:aws:lambda:us-east-1:123456789012:function:source_lambda"
}
}
}
]
}
```
이 정책은 소스가 ARN `arn:aws:lambda:us-east-1:123456789012:function:source_lambda`을(를) 사용하는 Lambda 함수인 경우만 `s3:PutObject` 액세스를 허용합니다. 이 정책은 다른 호출 자격 증명에 대한 `s3:PutObject` 액세스를 허용하지 않습니다. 이것은 다른 함수 또는 엔티티가 동일한 실행 역할로 `s3:PutObject`을(를) 호출할 때도 마찬가지입니다.
**참고**
`lambda:SourceFunctionARN` 조건 키는 Lambda 함수 버전 또는 함수 별칭을 지원하지 않습니다. 특정 함수 버전 또는 별칭에 ARN을 사용하는 경우 함수는 지정한 작업을 수행할 권한이 없습니다. 버전 또는 별칭 접미사 없이 함수에 정규화되지 않은 ARN을 사용해야 합니다.
SCP에서도 `lambda:SourceFunctionArn`을 사용할 수 있습니다. 예를 들어 버킷에 대한 액세스를 단일 Lambda 함수의 코드 또는 특정 Amazon Virtual Private Cloud(VPC)의 호출로 제한하려고 한다고 가정해 보겠습니다. 다음 SCP에서 이 방법을 보여줍니다.
**Example 특정 조건에서 Amazon S3 대한 액세스를 거부하는 정책**
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"s3:*"
],
"Resource": "arn:aws:s3:::lambda_bucket/*",
"Effect": "Deny",
"Condition": {
"StringNotEqualsIfExists": {
"aws:SourceVpc": [
"vpc-12345678"
]
}
}
},
{
"Action": [
"s3:*"
],
"Resource": "arn:aws:s3:::lambda_bucket/*",
"Effect": "Deny",
"Condition": {
"ArnNotEqualsIfExists": {
"lambda:SourceFunctionArn": "arn:aws:lambda:us-east-1:123456789012:function:source_lambda"
}
}
}
]
}
```
이 정책은 ARN `arn:aws:lambda:*:123456789012:function:source_lambda`을(를) 사용하는 특정 Lambda 함수에서 오지 않는 한 또는 지정된 VPC에서 오지 않는 한 모든 S3 작업을 거부합니다. `StringNotEqualsIfExists` 연산자는 `aws:SourceVpc` 키가 요청에 있는 경우에만 이 조건을 처리하도록 IAM에 지시합니다. 마찬가지로 IAM은 `lambda:SourceFunctionArn`이(가) 있는 경우에만 `ArnNotEqualsIfExists` 연산자를 고려합니다.