使用有限的策略访问AWS Lambda服务

Question

我试图按照本教程设置一个lambda函数来关闭/启动实例，并在ec2实例中添加一个特殊的标记。

管理员用户分配给我的角色的策略让我可以访问所有lambda函数，例如

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:*",
        "cognito-identity:ListIdentityPools",
        "cognito-sync:GetCognitoEvents",
        "cognito-sync:SetCognitoEvents",
        "dynamodb:*",
        "events:*",
        "iam:ListAttachedRolePolicies",
        "iam:ListRolePolicies",
        "iam:ListRoles",
        "iam:PassRole",
        "kinesis:DescribeStream",
        "kinesis:ListStreams",
        "kinesis:PutRecord",
        "lambda:*",
        "logs:*",
        "s3:*",
        "sns:ListSubscriptions",
        "sns:ListSubscriptionsByTopic",
        "sns:ListTopics",
        "sns:Subscribe",
        "sns:Unsubscribe"
      ],
      "Resource": "*"
    }
  ]
}

在选择“基本执行角色”时设置Lambda函数处理程序和角色时，我被卡在步骤6中，出现错误

用户：arn:aws:iam:：xxxx:User/Yyyy无权在资源上执行：iam:CreateRole:arn:aws:iam:：xxxx:role/lambda\u basic\u exec

我的角色政策是这样的：

   {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "logs:CreateLogGroup",
            "logs:CreateLogStream",
            "logs:PutLogEvents"
          ],
          "Resource": "arn:aws:logs:*:*:*"
        },       
        { 
          "Effect": "Allow",
          "Action": [
            "ec2:Describe*",
            "ec2:Start*",
            "ec2:RunInstances",
            "ec2:Stop*",
           ],
           "Resource": "*"
        }
      ]
    }

考虑到我有限的权利，这似乎是合理的。

我应该要求我的管理员更新分配给我的策略，以便我可以成功地为lambda函数设置计划事件，如教程中所述？或者这可以通过使用IAM的其他方式来完成，例如通过添加新角色？我只想要足够的权利。




Answer 1

您有一个安全约束，因为您需要在策略中使用“iam:CreateRole”，以及类似“iam:attachRolePolicy”和“iam:createPolicy”的内容。因此，您基本上是帐户的管理员，因为您可以使用任何策略创建角色，并将其附加到EC2实例或直接承担它。

您可以让管理员为lambda创建一个或多个角色，例如一个用于S3访问，一个用于ec2命令等。当您想要创建lambda函数时，请选择其中一个预先创建的角色，而不是创建新角色。

Answer 2

由于这个问题已经过去了一段时间，AWS也发生了很大变化，我想提一下AWS在2018年推出的一个新功能： IAM实体的权限边界[1]。

它们用于“将权限管理委托给受信任的员工”[2]和其他IAM实体（如角色）。也就是说，您不需要授予特定角色类似管理员的权限来创建其他角色，正如接受的答案所述。您可以授予角色iam： CreateRole权限，条件是需要对每个新创建的角色设置权限边界：{"StringEquals"：{"iam： PermissionsBoundary"："arn： aws： iam::111122223333：策略/XCompanyBoundary"}}。

由权限边界指定的策略定义了有效分配给角色的最大权限。[1]张志强

为了创建具有权限边界的角色，您可以使用cli命令的可选参数--permissions boundaryaws iam create role。[3]

[1] https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html
[2]https://aws.amazon.com/blogs/security/delegate-permission-management-to-developers-using-iam-permissions-boundaries/
[3]https://docs.aws.amazon.com/cli/latest/reference/iam/create-role.html