AWS Lambda的AWS SQS权限

Question

我使用的是AWS SQS服务，很难定义SQS队列上的权限。在我的设置中，我使用的是AWS Lambda服务，当一个对象被推到S3存储桶上时会触发该服务。

然而，让我简短地提问，这是我想要实现的：

1. 对象被推送到S3存储桶中

正如您可以从前面的用例中看到的，我希望我的AWS Lambda方法是唯一可以向SQS队列发送消息的应用程序。我试图设置一个原则和一个条件“sourceArn”。但是它们都不起作用。。

有人能帮忙吗？

Answer 1

您还可以指定SQS访问策略，拒绝发送除lambda以外的消息

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "Only API Gateway is allowed to send messages",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "SQS:SendMessage",
      "Resource": "arn:aws:sqs:eu-west-1:XXX:my_sqs_queue",
      "Condition": {
        "StringNotLike": {
          "aws:userid": [
            "AROA4XB7NRHNVE2XY7ABC:*"
          ]
        }
      }
    }
  ]
}

通过为角色id提供条件键aws:userid的通配符Principal*

<USER ID of the Role being used by the Lambda:*>

可以使用以下CLI命令检索角色AROA4XB7NRHNVE2XY7ABC的用户ID

aws iam get-role --role-name my_lambda_role

{
    "Role": {
       "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Action": "sts:AssumeRole",
                    "Principal": {
                        "Service": "lambda.amazonaws.com"
                    },
                    "Effect": "Allow",
                    "Sid": ""
                }
            ]
        },
        "RoleId": "AROA4XB7NRHNWU35SVABC",
        "CreateDate": "2020-01-21T11:40:55Z",
        "RoleName": "my_lambda_role",
        "Path": "/",
        "Arn": "arn:aws:iam::XXX:role/my_lambda_role"
    }
}

更多关于这个案件的信息可以在这里找到

Answer 2

我认为SourceArn字段不会被Lambda填充。我知道SourceArn适用于SNS，但Lambda实际上运行的是任意代码，而不是像SNS那样的AWS功能。

作为替代方案，您可以将策略附加到您的Lambda函数作为运行的IAM角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1440529349000",
            "Effect": "Allow",
            "Action": [
                "sqs:SendMessage"
            ],
            "Resource": [
                "arn:aws:sqs:us-west-2:123456789012:test-queue"
            ]
        }
    ]
}

此方法不需要直接附加到队列的策略。