Как связать управляемую политику с лямбда-функцией в безсерверной среде

Question

Как я могу привязать управляемую политику к лямбда-функции?

Я пробовал:

provider: 
    name: aws 
    role: arn:aws:iam::aws:policy/AmazonCognitoReadOnly 

Но это привело к следующей ошибке:

An error occurred while provisioning your stack: GaDashextractLambdaFunction - 1 validation error detected: Value 'arn:aws:iam::aws:policy/AmazonCognitoReadOnly' at 'role' failed to satisfy constraint: Member must satisfy regular expression pattern: arn:aws:iam::\d{12}:role/?[a-zA-Z_0-9+=,.@-_/]+.

Answer 1

Примечание ошибка - он ожидает role вместо policy.

IAM Политики - это документы, которые определяют разрешения и не могут быть привязаны непосредственно к лямбда-функциям. Создайте IAM Role и attach the managed policy to the role. Подумайте о роли контейнера для вашей политики; политики не могут быть привязаны непосредственно к лямбда-функциям, но роли могут. Вы можете свободно подключать и отключать управляемые и встроенные политики для своих ролей.

Вариант 1: Исправьте эту ошибку из AWS консоли с заранее определенной политикой:

• Создать новую IAM роль для вашего лямбда-функции.
• Во время создания прикрепите управляемую политику AmazonCognitoReadOnly.
• Замените ARN в своем role определением в ARN вашей новой роли.

Вариант 2: Определение действий политики AmazonCognitoReadOnly в serverless.yml:

Это эффективно преобразует управляемую политику инлайн политики. Предупреждение: это не проверено.

provider: 
    ... 
    iamRoleStatements: 
    - Effect: Allow 
     Action: 
     - cognito-identity:Describe* 
     - cognito-identity:Get* 
     - cognito-identity:List* 
     - cognito-idp:Describe* 
     - cognito-idp:AdminGetUser 
     - cognito-idp:List* 
     - cognito-sync:Describe* 
     - cognito-sync:Get* 
     - cognito-sync:List* 
     - iam:ListOpenIdConnectProviders 
     - iam:ListRoles 
     - sns:ListPlatformApplication 
     Resource: * 

Дополнительная литература:

• AWS Documentation - AWS Lambda Permissions Model
• AWS Documentation - Create the (IAM) Execution Role (Tutorial)