如何将托管策略附加到无服务器框架中的lambda函数

Question

如何将托管策略附加到lambda函数？

我试过：

provider:
  name: aws
  role: arn:aws:iam::aws:policy/AmazonCognitoReadOnly

但这导致了以下错误：

预配堆栈时发生错误：检测到GaDasheretLambdaFunction-1验证错误：值'arn： aws： iam::aws：策略/Amazon CognitoReadOnly'at'角色'未能满足约束：成员必须满足正则表达式模式： arn： aws： iam::\d{12}：角色/？[Z_0-9 =,.@- _/]。

Answer 1

注意错误——它需要角色，而不是策略。

IAM策略是定义权限的文档，不能直接附加到lambda函数。创建IAM角色并将托管策略附加到该角色。将角色视为策略的容器；策略不能直接附加到lambda函数，但角色可以。可以自由地将托管和内联策略附加和分离到角色。

选项1：使用预定义的策略从AWS控制台修复此错误：

• 为lambda函数创建新的IAM角色

选项2：在serverless.yml中定义AmazonCongnitoradonly策略的操作：

这有效地将托管策略转换为内联策略。警告：这是未经测试的。

provider:
  ...
  iamRoleStatements:
    - Effect: Allow
      Action:
        - cognito-identity:Describe*
        - cognito-identity:Get*
        - cognito-identity:List*
        - cognito-idp:Describe*
        - cognito-idp:AdminGetUser
        - cognito-idp:List*
        - cognito-sync:Describe*
        - cognito-sync:Get*
        - cognito-sync:List*
        - iam:ListOpenIdConnectProviders
        - iam:ListRoles
        - sns:ListPlatformApplication
      Resource: *

进一步阅读：

• AWS文档-AWS Lambda权限模型

Answer 2

你可以。只需在角色资源的ManagedPolicyArns中提供ARN。

Resources:
  RoleName:
    ManagedPolicyArns:
      - "arn:aws:iam::aws:policy/AmazonDynamoDBReadOnlyAccess"

对于适用于所有功能的策略：

provider:
  name: aws
  iamManagedPolicies:
    - "arn:aws:iam::aws:policy/AmazonDynamoDBReadOnlyAccess"