為什么某些 AWS 服務要求請求者具有 IAM 策略？

Question

例如，將 Lambda 連接到 SNS。

我嘗試設置一個 SNS TopicPolicy，允許從我的 VPC cidr 組發布到 SNS。 這沒有用，需要我創建一個 SNS 發布操作角色並將其附加到 Lambda。

我猜想拒絕操作是在服務上，而不是請求者，但事實似乎並非如此。

Answer 1

看起來這種行為只取決於服務。

對於SNS ，默認權限是允許從您賬戶中的所有服務訪問主題： Amazon SNS 訪問控制示例。 我同意你的觀點，應該更清楚地說明這一點。

Amazon SNS 向所有新創建的主題授予默認策略。 默認策略向所有其他 AWS 服務授予對您的主題的訪問權限。 此默認策略使用 aws:SourceArn 條件來確保 AWS 服務僅代表您擁有的 AWS 資源訪問您的主題。

如果您好奇的話，這里是默認策略的樣子。 請注意， Principal是* 。

{
  "Version": "2008-10-17",
  "Id": "__default_policy_ID",
  "Statement": [
    {
      "Sid": "__default_statement_ID",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "SNS:Publish",
        "SNS:RemovePermission",
        "SNS:SetTopicAttributes",
        "SNS:DeleteTopic",
        "SNS:ListSubscriptionsByTopic",
        "SNS:GetTopicAttributes",
        "SNS:AddPermission",
        "SNS:Subscribe"
      ],
      "Resource": "arn:aws:sns:XXX:XXXX:testTopic",
      "Condition": {
        "StringEquals": {
          "AWS:SourceOwner": "XXXX"
        }
      }
    }
  ]
}

但是，對於Lambda ，您需要在使用其他服務時明確授予訪問權限。