无法在 SAM 模板资源中获取策略定义的语法（无服务器功能）

Question

AWS 托管策略( AWSLambdaExecute ) 的策略定义是：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [ "logs:*" ],
      "Resource": "arn:aws:logs:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": [ "s3:GetObject", "s3:PutObject" ],
      "Resource": "arn:aws:s3:::*"
    }
  ]
}

---

但是AWS_documentation提供了一个使用相同策略名称AWSLambdaExecute的示例无服务器函数，如下所示：

Type: AWS::Serverless::Function
  Properties:
    Handler: index.js
    Runtime: nodejs8.10
    CodeUri: 's3://my-code-bucket/my-function.zip'
    Description: Creates thumbnails of uploaded images
    MemorySize: 1024
    Timeout: 15
    Policies:
     - AWSLambdaExecute # Managed Policy
     - Version: '2012-10-17' # Policy Document
       Statement:
         - Effect: Allow
           Action:
             - s3:GetObject
             - s3:GetObjectACL
           Resource: 'arn:aws:s3:::my-bucket/*'

---

与上述定义不符。

编辑：

下面是示例函数的执行角色...我没有看到 AWS 托管执行角色名称（例如AWSLambdaBasicExecutionRole ）。 因为我的理解是， AWSLambdaBasicExecutionRole角色应该默认分配给 Lambda

---

在此示例中，我们是否覆盖了AWSLambdaExecute的策略定义？

Answer 1

当您指定策略时，您基本上是在为您的 lambda 函数构建一个执行角色。

Policies是一个Policies列表，因为角色可以在其中包含多个策略。

这条线

- AWSLambdaExecute # Managed Policy

声明您正在创建的 lambda 函数应包含此 AWS 托管策略

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [ "logs:*" ],
      "Resource": "arn:aws:logs:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": [ "s3:GetObject", "s3:PutObject" ],
      "Resource": "arn:aws:s3:::*"
    }
  ]
} 

以下几行：

- Version: '2012-10-17' # Policy Document
       Statement:
         - Effect: Allow
           Action:
             - s3:GetObject
             - s3:GetObjectACL
           Resource: 'arn:aws:s3:::my-bucket/*'

指定要包含在 lambda 执行角色中的下一个策略。

在此示例中，我们是否覆盖了 AWSLambdaExecute 的策略定义？

不，我们正在向 lambda 执行角色添加多个策略，其中一个是 AWS 托管策略，一个是我们自己的自定义策略。 因此 lambda 函数将在两者中定义权限。 或者更准确地说，将创建这些策略的联合，并且 lambda 函数将拥有该联合定义的权限，这意味着如果其中一个策略允许 lambda 函数做某事而另一个拒绝相同的事情，则结果将是该操作会被拒绝。

Answer 2

我认为您的Policies属性的作用是：

• 附加托管策略AWSLambdaExecute然后
• 为您的执行角色创建内联策略，授予 s3 权限s3:GetObject和s3:PutObject 。 还有另一个 SO 帖子表明 SAM 现在支持定义内联策略。 [1]

定义内联策略不会覆盖任何内容。 您可以将多种不同类型的策略附加到单个身份（例如 IAM 用户或角色）。 [2]

参考

[1] https://stackoverflow.com/a/52719165/10473469
[2] https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html

Answer 3

这是我的首选方法（为清楚起见省略其他字段）：

 MyLambdaFunction:
    Type: 'AWS::Serverless::Function'
    Properties:
      Policies:
        - CloudWatchLambdaInsightsExecutionRolePolicy # AWS Managed Policy
        - AWSXrayWriteOnlyAccess # AWS Managed Policy
        - AWSLambdaExecute # AWS Managed Policy
        - Version: '2012-10-17' # Policy Document to allow S3 access
          Statement:
            - Effect: Allow
             Action:
               - s3:GetObject
               - s3:GetObjectACL
             Resource: 'arn:aws:s3:::my-bucket/*'