如何使用 lambda function AWS SAM 添加策略以访问密钥

Question

我正在尝试在 SAM 模板中向我的 lambda function 授予秘密管理器的访问权限，但它给我的错误是策略声明格式错误。

     Policies:
      - Statement:
      - Sid: AWSSecretsManagerGetSecretValuePolicy
        Effect: Allow
        Action: secretsmanager:GetSecretValue
        Resource: <arn >

有人可以告诉我向我的 lambda function 添加策略的正确方法吗？ 我正在使用 SAM 模板（类型：AWS::Serverless::Function）

Answer 1

有SAM 策略模板，其中之一是AWSSecretsManagerGetSecretValuePolicy ，您可以直接在定义中使用它们。

或者，如果您想自己管理政策。

    QueryFunction:
        Type: AWS::Serverless::Function
        Properties:
        Handler: lambda_handler.lambda
        Policies:
            - AmazonDynamoDBFullAccess
            - AWSLambdaVPCAccessExecutionRole
            - SSMParameterReadPolicy:
                ParameterName: parameter_name
            - Statement:
                - Effect: Allow
                Action:
                    - dynamodb:*
                Resource: 'resource_arn'
        Runtime: python3.7

Answer 2

尝试这个：

    Policies:
      - Version: '2012-10-17'
        Statement:
          - Sid: AWSSecretsManagerGetSecretValuePolicy
            Effect: Allow
            Action: secretsmanager:GetSecretValue
            Resource: <arn >

Answer 3

lambda 上的此政策适用于我 (YAML)

Policies:
  - AWSSecretsManagerGetSecretValuePolicy:
      SecretArn:
        Ref: THE_NAME_YOU_GAVE_YOUR_SECRET_RESOURCE

Answer 4

此策略仅接受密钥的 ARN，因此密钥名称不起作用。 https://docs.aws.amazon.com/serverless-application-model/latest/developerguide/serverless-policy-template-list.html#secrets-manager-get-secret-value-policy

下面对我有用。

Resources:  
MyFunction:
Type: AWS::Serverless::Function
Properties:
  CodeUri: MyProject/
  Handler: app
  Policies:
    - AWSSecretsManagerGetSecretValuePolicy:
        SecretArn: 'arn:aws:secretsmanager:####'

或将其作为参数传递

    - AWSSecretsManagerGetSecretValuePolicy:
        SecretArn: !Ref RdsSecretArn