AWS SAM 템플릿의 정책 및 역할을 사용하여 Lambda 함수에 권한을 부여하려면 어떻게 해야 합니까?

최종 업데이트 날짜: 2020년 10월 12일

AWS Serverless Application Model(AWS SAM) 애플리케이션에서 AWS Lambda 함수에 권한을 부여하고 싶습니다. AWS SAM 템플릿에서 범위가 지정된 권한이 있는 Lambda 실행 역할을 설정하려면 어떻게 해야 합니까?

간략한 설명

AWS SAM 템플릿에서 PermissionsBoundary와 함께 AWS:: Serverless:: Function 리소스의 정책 또는 역할 속성을 사용하여 Lambda 실행 역할과 해당 권한을 정의합니다.

참고: AWS SAM 템플릿은 AWS CloudFormation 템플릿과 유사합니다. AWS CloudFormation 템플릿에서 선언할 수 있는 모든 리소스는 AWS SAM 템플릿에서도 선언할 수 있습니다. 자세한 내용은 AWS SAM 템플릿 구조를 참조하십시오.

[정책(Policies)]을 사용하여 Lambda 함수에 고유한 범위가 지정된 권한을 가진 새 실행 역할을 생성합니다. 선택적으로, PermissionsBoundary를 사용하여 새로 생성된 역할에 대한 AWS Identity and Access Management(IAM) 권한 경계를 설정할 수도 있습니다.

사용 사례에 사전 정의된 정책을 사용할 수 없는 권한이 있는 실행 역할이 필요한 경우 대신 [역할(Roles)]을 사용하십시오.

참고: [정책(Policies)] 및 [역할(Roles)] 속성은 함께 사용할 수 없습니다.

해결 방법

새 Lambda 실행 역할에 대한 정책 지정

[정책(Policies)] 속성에 다음 조합을 입력합니다.

참고: AWS SAM 정책 템플릿은 특정 AWS 리소스로 범위가 지정됩니다. 정책 템플릿 및 해당 템플릿이 Lambda 함수에 부여하는 권한 목록은 정책 템플릿 표를 참조하십시오.

다음은 정책이 정의된 AWS SAM YAML 템플릿의 예입니다.

이름이 다음과 같은 AWS 관리형 정책의 예:

AWSTemplateFormatVersion: '2010-09-09'
Transform: 'AWS::Serverless-2016-10-31' b
Resources:
  MyFunction:
    Type: 'AWS::Serverless::Function'
    Properties:
      Handler: index.handler
      Runtime: nodejs8.10
      CodeUri: 's3://my-bucket/function.zip'
      Policies:
      # Give DynamoDB Full Access to your Lambda Function
      - AmazonDynamoDBFullAccess
MyFunction:
  Type: 'AWS::Serverless::Function'
  Properties:
    CodeUri: ${codeuri}
    Handler: hello.handler
    Runtime: python2.7
    Policies:
      - SQSPollerPolicy:
          QueueName:
            !GetAtt MyQueue.QueueName

인라인 정책 문서가 포함된 예:

AWSTemplateFormatVersion: '2010-09-09'
Transform: 'AWS::Serverless-2016-10-31'
Resources:
  MyFunction:
    Type: 'AWS::Serverless::Function'
    Properties:
      Handler: index.handler
      Runtime: nodejs8.10
      CodeUri: 's3://my-bucket/function.zip'
      Policies:
      - Statement:
        - Sid: SSMDescribeParametersPolicy
          Effect: Allow
          Action:
          - ssm:DescribeParameters
          Resource: '*'
        - Sid: SSMGetParameterPolicy
          Effect: Allow
          Action:
          - ssm:GetParameters
          - ssm:GetParameter
          Resource: '*'

(선택 사항)IAM 권한 경계 지정

Lambda 함수의 실행 역할에 허용되는 최대 권한을 설정하려면 IAM 권한 경계를 사용합니다. AWS SAM YAML 템플릿PermissionsBoundary 속성에 권한 경계의 Amazon 리소스 이름(ARN)을 입력합니다. 예를 들면 다음과 같습니다.

Properties:
      PermissionsBoundary: arn:aws:iam::123456789012:policy/LambdaBoundaries

참고: AWS SAM 템플릿으로 새 역할을 생성하는 경우에만 PermissionsBoundary를 정의할 수 있습니다. 지정한 기존 [Role(역할)]에 대한 권한 경계를 설정할 수 없습니다.

Lambda 실행 역할 지정

[Role(역할)] 속성에 다음 중 하나를 입력합니다.

참고: AWS SAM 템플릿에서 역할을 지정하지 않으면 애플리케이션을 배포할 때 정의한 정책이 있는 실행 역할이 생성됩니다.

다음은 역할이 정의된 AWS SAM YAML 템플릿의 예입니다.

AWSTemplateFormatVersion: '2010-09-09'
Transform: 'AWS::Serverless-2016-10-31'
Resources: 
  MyFunction:
    Type: 'AWS::Serverless::Function' 
    Properties:
      Handler: index.handler
      Runtime: nodejs8.10
      CodeUri: 's3://my-bucket/function.zip' 
      Role: arn:aws:iam::111111111111:role/SAMPolicy

애플리케이션 패키징 및 배포

AWS SAM 템플릿에서 Lambda 함수 권한을 정의한 후 다음을 수행합니다.

  1. AWS SAM 명령줄 인터페이스(AWS SAM CLI)에서 sam build 명령을 사용하여 애플리케이션을 빌드하고 패키징합니다.
    참고: AWS CLI 명령을 실행할 때 오류가 발생하는 경우, 최신 버전의 AWS CLI를 사용하고 있는지 확인하세요.
  2. sam deploy 명령을 사용하여 AWS SAM 애플리케이션 패키지를 배포합니다.

자세한 내용은 애플리케이션 빌드서버리스 애플리케이션 배포를 참조하십시오.


이 문서가 도움이 되었습니까?


결제 또는 기술 지원이 필요합니까?