Ações, recursos e chaves de condição do AWS Lambda - Referência de autorização do serviço
AçõesTipos de recursosChaves de condição

Ações, recursos e chaves de condição do AWS Lambda

O AWS Lambda (prefixo de serviço: lambda) fornece os seguintes recursos, ações e chaves de contexto de condição específicos do serviço para uso em políticas de permissão do IAM.

Referências:

Ações definidas pelo AWS Lambda

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações Descrição Nível de acesso Tipos de recursos (*necessários) Chaves de condição Ações dependentes
AddLayerVersionPermission Concede permissão para adicionar permissões à política baseada em recurso de uma versão de uma camada do AWS Lambda Permissions management

layerVersion*

AddPermission Concede permissão para dar permissão a um produto da AWS ou a outra conta para usar uma função do AWS Lambda Permissions management

function*

lambda:Principal

lambda:FunctionUrlAuthType

CreateAlias Concede permissão para criar um alias para uma versão de função do Lambda Write

function*

CreateCodeSigningConfig Concede permissão para criar uma configuração de assinatura de código do AWS Lambda Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEventSourceMapping Concede permissão para criar um mapeamento entre uma origem de evento e uma função do AWS Lambda Write

lambda:FunctionArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunction Concede permissão para criar uma função do AWS Lambda Escrever

function*

iam:PassRole

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

lambda:CodeSigningConfigArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunctionUrlConfig Concede permissão para criar uma configuração de URL de função para uma função Lambda Escrever

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteAlias Concede permissão para excluir um alias de função do AWS Lambda Write

function*

DeleteCodeSigningConfig Concede permissão para excluir uma configuração de assinatura de código do AWS Lambda Write

code signing config*

DeleteEventSourceMapping Concede permissão para excluir um mapeamento de origem de evento do AWS Lambda Write

eventSourceMapping*

lambda:FunctionArn

DeleteFunction Concede permissão para excluir uma função do AWS Lambda Write

function*

DeleteFunctionCodeSigningConfig Concede permissão para desvincular uma configuração de assinatura de código de uma função do AWS Lambda Write

function*

DeleteFunctionConcurrency Concede permissão para remover um limite de execução simultânea de uma função do AWS Lambda Write

function*

DeleteFunctionEventInvokeConfig Concede permissão para excluir a configuração para invocação assíncrona de uma função, uma versão ou um alias do AWS Lambda Escrever

function*

DeleteFunctionUrlConfig Concede permissão para excluir uma configuração de URL de função para uma função Lambda Escrever

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteLayerVersion Concede permissão para excluir uma versão de uma camada do AWS Lambda Write

layerVersion*

DeleteProvisionedConcurrencyConfig Concede permissão para excluir a configuração de simultaneidade provisionada para uma função do AWS Lambda Write

function alias

function version

DisableReplication [somente permissão] Concede permissão para desativar a replicação para uma função do Lambda@Edge Permissions management

function*

EnableReplication [somente permissão] Concede permissão para habilitar a replicação para uma função do Lambda@Edge Permissions management

function*

GetAccountSettings Concede permissão para visualizar detalhes sobre os limites e o uso de uma conta em uma Região da AWS Read
GetAlias Concede permissão para visualizar detalhes sobre um alias de função do AWS Lambda Read

function*

GetCodeSigningConfig Concede permissão para visualizar detalhes sobre uma configuração de assinatura de código do AWS Lambda Read

code signing config*

GetEventSourceMapping Concede permissão para visualizar detalhes sobre um mapeamento de origem de evento do AWS Lambda Read

eventSourceMapping*

lambda:FunctionArn

GetFunction Concede permissão para visualizar detalhes sobre uma função do AWS Lambda Read

function*

GetFunctionCodeSigningConfig Concede permissão para visualizar o ARN de configuração de assinatura de código anexado a uma função do AWS Lambda Read

function*

GetFunctionConcurrency Concede permissão para exibir detalhes sobre a configuração de simultaneidade reservada para uma função Read

function*

GetFunctionConfiguration Concede permissão para visualizar detalhes sobre as configurações específicas da versão de uma função ou versão do AWS Lambda Read

function*

GetFunctionEventInvokeConfig Concede permissão para exibir a configuração para invocação assíncrona de uma função, uma versão ou um alias Leitura

function*

GetFunctionRecursionConfig Concede permissão para exibir a configuração de recursão de uma função do AWS Lambda Leitura

function*

GetFunctionUrlConfig Concede permissão para ler uma configuração de URL de função para uma função Lambda Leitura

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

GetLayerVersion Concede permissão para visualizar detalhes sobre uma versão de uma camada do AWS Lambda. Observe que essa ação também oferece suporte à API GetLayerVersionByArn Read

layerVersion*

GetLayerVersionPolicy Concede permissão para visualizar a política baseada em recurso para uma versão de uma camada do AWS Lambda Read

layerVersion*

GetPolicy Concede permissão para visualizar a política baseada em recurso para uma função, uma versão ou um alias do AWS Lambda Read

function*

GetProvisionedConcurrencyConfig Concede permissão para visualizar a configuração de simultaneidade provisionada para o alias ou versão de uma função do AWS Lambda Leitura

function alias

function version

GetRuntimeManagementConfig Concede permissão para exibir a configuração de gerenciamento de runtime de uma função do AWS Lambda Leitura

function*

InvokeAsync Concede permissão para invocar uma função de forma assíncrona (Defasado) Escrever

function*

InvokeFunction Concede permissão para invocar uma função do AWS Lambda Escrever

function*

lambda:EventSourceToken

InvokeFunctionUrl [somente permissão] Concede permissão para invocar uma função do AWS Lambda pela URL Escrever

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

lambda:EventSourceToken

ListAliases Concede permissão para recuperar uma lista de aliases para uma função do AWS Lambda List

function*

ListCodeSigningConfigs Concede permissão para recuperar uma lista de configurações de assinatura de código do AWS Lambda List
ListEventSourceMappings Concede permissão para recuperar uma lista de mapeamentos de origem de eventos do AWS Lambda List
ListFunctionEventInvokeConfigs Concede permissão para recuperar uma lista de configurações para invocação assíncrona de uma função Listar

function*

ListFunctionUrlConfigs Concede permissão para ler configurações de URL de função para uma função Listar

function*

lambda:FunctionUrlAuthType

ListFunctions Concede permissão para recuperar uma lista de funções do AWS Lambda, com a configuração específica da versão de cada função List
ListFunctionsByCodeSigningConfig Concede permissão para recuperar uma lista de funções do AWS Lambda pela configuração de assinatura de código atribuída List

code signing config*

ListLayerVersions Concede permissão para recuperar uma lista de versões de uma camada do AWS Lambda List
ListLayers Concede permissão para recuperar uma lista de camadas do AWS Lambda, com detalhes sobre a versão mais recente de cada camada List
ListProvisionedConcurrencyConfigs Concede permissão para recuperar uma lista de configurações de simultaneidade provisionadas para uma função do AWS Lambda Listar

function*

ListTags Concede permissão para recuperar uma lista de tags para uma função do AWS Lambda, um mapeamento da origem do evento ou um recurso de configuração de assinatura de código Leitura

code signing config

eventSourceMapping

function

ListVersionsByFunction Concede permissão para recuperar uma lista de versões para uma função do AWS Lambda List

function*

PublishLayerVersion Concede permissão para criar uma camada do AWS Lambda Write

layer*

PublishVersion Concede permissão para criar uma versão de função do AWS Lambda Write

function*

PutFunctionCodeSigningConfig Concede permissão para anexar uma configuração de assinatura de código a uma função do AWS Lambda Write

code signing config*

function*

lambda:CodeSigningConfigArn

PutFunctionConcurrency Concede permissão para configurar a simultaneidade reservada para uma função do AWS Lambda Write

function*

PutFunctionEventInvokeConfig Concede permissão para configurar opções para invocação assíncrona em uma função, uma versão ou um alias do AWS Lambda Escrever

function*

PutFunctionRecursionConfig Concede permissão para atualizar a configuração de recursão de uma função do AWS Lambda Escrever

function*

PutProvisionedConcurrencyConfig Concede permissão para configurar a simultaneidade provisionada para o alias ou versão de uma função do AWS Lambda Escrever

function alias

function version

PutRuntimeManagementConfig Concede permissão para atualizar a configuração de gerenciamento de runtime de uma função do AWS Lambda Escrever

function*

RemoveLayerVersionPermission Concede permissão para remover uma instrução da política de permissões para uma versão de uma camada do AWS Lambda Permissions management

layerVersion*

RemovePermission Concede permissão para revogar a permissão de uso da função de um produto da AWS ou de outra conta Gerenciamento de permissões

function*

lambda:Principal

lambda:FunctionUrlAuthType

TagResource Concede permissão para adicionar tags a uma função do AWS Lambda, um mapeamento da origem do evento ou um recurso de configuração de assinatura de código Tags

code signing config

eventSourceMapping

function

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource Concede permissão para remover tags de uma função do AWS Lambda, um mapeamento da origem do evento ou um recurso de configuração de assinatura de código Tags

code signing config

eventSourceMapping

function

aws:TagKeys

UpdateAlias Concede permissão para atualizar a configuração do alias de uma função do AWS Lambda Write

function*

UpdateCodeSigningConfig Concede permissão para atualizar uma configuração de assinatura de código do AWS Lambda Write

code signing config*

UpdateEventSourceMapping Concede permissão para atualizar a configuração de um mapeamento de origem de evento do AWS Lambda Write

eventSourceMapping*

lambda:FunctionArn

UpdateFunctionCode Concede permissão para atualizar o código de uma função do AWS Lambda Write

function*

UpdateFunctionCodeSigningConfig Concede permissão para atualizar a configuração de assinatura de código de uma função do AWS Lambda Write

code signing config*

function*

UpdateFunctionConfiguration Concede permissão para modificar as configurações específicas da versão de uma função do AWS Lambda Write

function*

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

UpdateFunctionEventInvokeConfig Concede permissão para modificar a configuração para invocação assíncrona de uma função, uma versão ou um alias do AWS Lambda Escrever

function*

UpdateFunctionUrlConfig Concede permissão para atualizar uma configuração de URL de função para uma função Lambda Escrever

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

Tipos de recursos definidos pelo AWS Lambda

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos ARN Chaves de condição
code signing config arn:${Partition}:lambda:${Region}:${Account}:code-signing-config:${CodeSigningConfigId}

aws:ResourceTag/${TagKey}

eventSourceMapping arn:${Partition}:lambda:${Region}:${Account}:event-source-mapping:${UUID}

aws:ResourceTag/${TagKey}

function arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}

aws:ResourceTag/${TagKey}

function alias arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Alias}

aws:ResourceTag/${TagKey}

function version arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Version}

aws:ResourceTag/${TagKey}

layer arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}
layerVersion arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}:${LayerVersion}

Chaves de condição do AWS Lambda

O AWS Lambda define as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para exibir as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição Descrição Tipo
aws:RequestTag/${TagKey} Filtra o acesso pelas etiquetas que são transmitidas na solicitação Segmento
aws:ResourceTag/${TagKey} Filtra o acesso pelas etiquetas associadas ao recurso Segmento
aws:TagKeys Filtra o acesso pelas chaves da etiqueta que são transmitidas na solicitação ArrayOfString
lambda:CodeSigningConfigArn Filtra o acesso pelo ARN de uma configuração de assinatura de código do AWS Lambda ARN
lambda:EventSourceToken Filtra o acesso pelo ID de uma fonte sem eventos da AWS configurada para a função do AWS Lambda String
lambda:FunctionArn Filtra o acesso pelo ARN de uma função do AWS Lambda ARN
lambda:FunctionUrlAuthType Filtra o acesso por tipo de autorização especificado na solicitação. Disponível durante as operações CreateFunctionUrlConfig, UpdateFunctionUrlConfig, DeleteFunctionUrlConfig, GetFunctionUrlConfig, ListFunctionUrlConfig, AddPermission e RemovePermission String
lambda:Layer Filtra o acesso pelo ARN de uma versão de uma camada do AWS Lambda ArrayOfString
lambda:Principal Filtra o acesso restringindo o produto ou a conta da AWS que pode invocar uma função String
lambda:SecurityGroupIds Filtra o acesso pelo ID de grupos de segurança configurados para a função do AWS Lambda ArrayOfString
lambda:SourceFunctionArn Filtra o acesso pelo ARN da função do AWS Lambda da qual a solicitação foi originada ARN
lambda:SubnetIds Filtra o acesso pelo ID das sub-redes configuradas para a função do AWS Lambda ArrayOfString
lambda:VpcIds Filtra o acesso pelo ID da VPC configurada para a função do AWS Lambda String