AWS Lambda 的動作、資源和條件索引鍵 - 服務授權參考
動作資源類型條件索引鍵

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS Lambda 的動作、資源和條件索引鍵

AWS Lambda （服務字首：lambda) 提供下列服務特定的資源、動作和條件內容索引鍵，可用於 IAM 許可政策。

參考資料：

AWS Lambda 定義的動作

您可以在 IAM 政策陳述式的 Action元素中指定下列動作。使用政策來授予在 AWS中執行操作的許可。當您在政策中使用 動作時，通常會允許或拒絕存取具有相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您在 IAM 政策中使用 Resource元素限制資源存取，則必須為每個必要的資源類型包含 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作 描述 存取層級 資源類型 (*必填項目) 條件索引鍵 相依動作
AddLayerVersionPermission 准許將許可新增至 AWS Lambda 層版本的資源型政策 許可管理

layerVersion*

AddPermission 准許授予 AWS 服務或其他帳戶使用 AWS Lambda 函數的許可 許可管理

function*

lambda:Principal

lambda:FunctionUrlAuthType

CreateAlias 授予建立 Lambda 函數版本別名的許可 寫入

function*

CreateCodeSigningConfig 准許建立 AWS Lambda 程式碼簽署組態 寫入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateEventSourceMapping 准許在事件來源和 AWS Lambda 函數之間建立映射 寫入

lambda:FunctionArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunction 准許建立 AWS Lambda 函數 寫入

function*

iam:PassRole

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

lambda:CodeSigningConfigArn

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunctionUrlConfig 准許針對 Lambda 函數建立函數 URL 組態 寫入

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteAlias 准許刪除 AWS Lambda 函數別名 寫入

function*

DeleteCodeSigningConfig 准許刪除 AWS Lambda 程式碼簽署組態 寫入

code signing config*

DeleteEventSourceMapping 准許刪除 AWS Lambda 事件來源映射 寫入

eventSourceMapping*

lambda:FunctionArn

DeleteFunction 准許刪除 AWS Lambda 函數 寫入

function*

DeleteFunctionCodeSigningConfig 准許從 AWS Lambda 函數分離程式碼簽署組態 寫入

function*

DeleteFunctionConcurrency 准許從 AWS Lambda 函數中移除並行執行限制 寫入

function*

DeleteFunctionEventInvokeConfig 准許刪除 AWS Lambda 函數、版本或別名的非同步調用組態 寫入

function*

DeleteFunctionUrlConfig 准許刪除 Lambda 函數的函數 URL 組態 寫入

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

DeleteLayerVersion 准許刪除 AWS Lambda 層的版本 寫入

layerVersion*

DeleteProvisionedConcurrencyConfig 准許刪除 AWS Lambda 函數的佈建並行組態 寫入

function alias

function version

DisableReplication [僅限許可] 授予停用 Lambda @Edge 函數複寫的許可 許可管理

function*

EnableReplication [僅限許可] 授予啟用 Lambda @Edge 函數複寫的許可 許可管理

function*

GetAccountSettings 准許檢視 中帳戶限制和用量的詳細資訊 AWS 區域 讀取
GetAlias 准許檢視 AWS Lambda 函數別名的詳細資訊 讀取

function*

GetCodeSigningConfig 准許檢視 AWS Lambda 程式碼簽署組態的詳細資訊 讀取

code signing config*

GetEventSourceMapping 准許檢視 AWS Lambda 事件來源映射的詳細資訊 讀取

eventSourceMapping*

lambda:FunctionArn

GetFunction 准許檢視 AWS Lambda 函數的詳細資訊 讀取

function*

GetFunctionCodeSigningConfig 准許檢視連接至 AWS Lambda 函數的程式碼簽署組態 讀取

function*

GetFunctionConcurrency 授予檢視函數之保留並行組態詳細資訊的許可 讀取

function*

GetFunctionConfiguration 准許檢視 AWS Lambda 函數或版本的特定版本設定的詳細資訊 讀取

function*

GetFunctionEventInvokeConfig 授予檢視函數、版本或別名的非同步叫用組態的許可 讀取

function*

GetFunctionRecursionConfig 准許檢視 AWS Lambda 函數的遞迴組態 讀取

function*

GetFunctionUrlConfig 准許讀取 Lambda 函數的函數 URL 組態 讀取

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

GetLayerVersion 准許檢視 AWS Lambda 層版本的詳細資訊。請注意，此動作也支援 GetLayerVersionByArn APIWord 讀取

layerVersion*

GetLayerVersionPolicy 准許檢視 AWS Lambda 層版本的資源型政策 讀取

layerVersion*

GetPolicy 准許檢視 AWS Lambda 函數、版本或別名的資源型政策 讀取

function*

GetProvisionedConcurrencyConfig 准許檢視 AWS Lambda 函數別名或版本的佈建並行組態 讀取

function alias

function version

GetRuntimeManagementConfig 准許檢視 AWS Lambda 函數的執行期管理組態 讀取

function*

InvokeAsync 准許非同步叫用函數 (已取代) 寫入

function*

InvokeFunction 准許叫用 AWS Lambda 函數 寫入

function*

lambda:EventSourceToken

InvokeFunctionUrl [僅限許可] 准許透過 URL 叫用 AWS Lambda 函數 寫入

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

lambda:EventSourceToken

ListAliases 准許擷取 AWS Lambda 函數的別名清單 清單

function*

ListCodeSigningConfigs 准許擷取 AWS Lambda 程式碼簽署組態的清單 清單
ListEventSourceMappings 准許擷取 AWS Lambda 事件來源映射的清單 清單
ListFunctionEventInvokeConfigs 准許擷取函數的非同步叫用之組態清單 清單

function*

ListFunctionUrlConfigs 准許讀取函數的函數 URL 組態 清單

function*

lambda:FunctionUrlAuthType

ListFunctions 准許擷取 AWS Lambda 函數的清單，以及每個函數的版本特定組態 清單
ListFunctionsByCodeSigningConfig 准許依指派的程式碼簽署組態擷取 AWS Lambda 函數清單 清單

code signing config*

ListLayerVersions 准許擷取 AWS Lambda 層的版本清單 清單
ListLayers 准許擷取 AWS Lambda 層的清單，其中包含每個層的最新版本詳細資訊 清單
ListProvisionedConcurrencyConfigs 准許擷取 AWS Lambda 函數的佈建並行組態清單 清單

function*

ListTags 准許擷取 AWS Lambda 函數、事件來源映射或程式碼簽署組態資源的標籤清單 讀取

code signing config

eventSourceMapping

function

ListVersionsByFunction 准許擷取 AWS Lambda 函數的版本清單 清單

function*

PublishLayerVersion 准許建立 AWS Lambda 層 寫入

layer*

PublishVersion 准許建立 AWS Lambda 函數版本 寫入

function*

PutFunctionCodeSigningConfig 准許將程式碼簽署組態連接至 AWS Lambda 函數 寫入

code signing config*

function*

lambda:CodeSigningConfigArn

PutFunctionConcurrency 准許設定 AWS Lambda 函數的預留並行 寫入

function*

PutFunctionEventInvokeConfig 准許設定 AWS Lambda 函數、版本或別名上的非同步調用選項 寫入

function*

PutFunctionRecursionConfig 准許更新 AWS Lambda 函數的遞迴組態 寫入

function*

PutProvisionedConcurrencyConfig 准許設定 AWS Lambda 函數別名或版本的佈建並行 寫入

function alias

function version

PutRuntimeManagementConfig 准許更新 AWS Lambda 函數的執行期管理組態 寫入

function*

RemoveLayerVersionPermission 准許從 AWS Lambda 層版本的許可政策中移除陳述式 許可管理

layerVersion*

RemovePermission 准許從 AWS 服務或其他帳戶撤銷 function-use 許可 許可管理

function*

lambda:Principal

lambda:FunctionUrlAuthType

TagResource 准許將標籤新增至 AWS Lambda 函數、事件來源映射或程式碼簽署組態資源 標記

code signing config

eventSourceMapping

function

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource 准許從 AWS Lambda 函數、事件來源映射或程式碼簽署組態資源中移除標籤 標記

code signing config

eventSourceMapping

function

aws:TagKeys

UpdateAlias 准許更新 AWS Lambda 函數別名的組態 寫入

function*

UpdateCodeSigningConfig 准許更新 AWS Lambda 程式碼簽署組態 寫入

code signing config*

UpdateEventSourceMapping 准許更新 AWS Lambda 事件來源映射的組態 寫入

eventSourceMapping*

lambda:FunctionArn

UpdateFunctionCode 准許更新 AWS Lambda 函數的程式碼 寫入

function*

UpdateFunctionCodeSigningConfig 准許更新 AWS Lambda 函數的程式碼簽署組態 寫入

code signing config*

function*

UpdateFunctionConfiguration 准許修改 AWS Lambda 函數的版本特定設定 寫入

function*

lambda:Layer

lambda:VpcIds

lambda:SubnetIds

lambda:SecurityGroupIds

UpdateFunctionEventInvokeConfig 准許修改 AWS Lambda 函數、版本或別名的非同步調用組態 寫入

function*

UpdateFunctionUrlConfig 准許針對 Lambda 函數更新函數 URL 組態 寫入

function*

lambda:FunctionUrlAuthType

lambda:FunctionArn

AWS Lambda 定義的資源類型

下列資源類型由此服務定義，可用於 IAM 許可政策陳述式的 Resource元素。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型 ARN 條件索引鍵
code signing config arn:${Partition}:lambda:${Region}:${Account}:code-signing-config:${CodeSigningConfigId}

aws:ResourceTag/${TagKey}

eventSourceMapping arn:${Partition}:lambda:${Region}:${Account}:event-source-mapping:${UUID}

aws:ResourceTag/${TagKey}

function arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}

aws:ResourceTag/${TagKey}

function alias arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Alias}

aws:ResourceTag/${TagKey}

function version arn:${Partition}:lambda:${Region}:${Account}:function:${FunctionName}:${Version}

aws:ResourceTag/${TagKey}

layer arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}
layerVersion arn:${Partition}:lambda:${Region}:${Account}:layer:${LayerName}:${LayerVersion}

AWS Lambda 的條件索引鍵

AWS Lambda 定義下列條件索引鍵，可用於 IAM 政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有服務都可使用的全域條件鍵，請參閱可用全域條件鍵。

條件索引鍵 描述 類型
aws:RequestTag/${TagKey} 依要求中傳遞的標籤來篩選存取權 字串
aws:ResourceTag/${TagKey} 依與資源關聯的標籤來篩選存取權 字串
aws:TagKeys 依要求中傳遞的標籤索引鍵來篩選存取權 ArrayOfString
lambda:CodeSigningConfigArn 依 AWS Lambda 程式碼簽署組態的 ARN 篩選存取權 ARN
lambda:EventSourceToken 從為 AWS Lambda 函數設定的非AWS 事件來源，依 ID 篩選存取權 字串
lambda:FunctionArn 依 AWS Lambda 函數的 ARN 篩選存取權 ARN
lambda:FunctionUrlAuthType 依請求中指定的授權類型篩選存取權。在 CreateFunctionUrlConfig、 UpdateFunctionUrlConfig、 DeleteFunctionUrlConfig、 GetFunctionUrlConfig、 ListFunctionUrlConfig、Word、 AddPermission 和 RemovePermission 操作期間可用 字串
lambda:Layer 依 AWS Lambda 層版本的 ARN 篩選存取權 ArrayOfString
lambda:Principal 透過限制可叫用函數 AWS 的服務或帳戶來篩選存取權 字串
lambda:SecurityGroupIds 根據為 AWS Lambda 函數設定的安全群組 ID 篩選存取權 ArrayOfString
lambda:SourceFunctionArn 依發出請求之 AWS Lambda 函數的 ARN 篩選存取權 ARN
lambda:SubnetIds 根據為 AWS Lambda 函數設定的子網路 ID 篩選存取權 ArrayOfString
lambda:VpcIds 依為 AWS Lambda 函數設定的 VPC ID 篩選存取權 字串