Zulassen, dass eine Lambda-Funktion ausschließlich Objekte in einen S3-Bucket platziert

Question

Meine aktuelle S3-Bucket-Richtlinie aktiviert s3:getObject und s3:putObject global, und ich versuche, dies durch Angabe einer Bucket-Richtlinie zu beschränken.

Während s3:getObject sicher ist, möchte ich den Zugriff auf s3:putObject nur auf eine bestimmte AWS Lambda-Funktion beschränken.

Die Funktion wird anonym über eine HTTP-Anfrage an CloudFront ausgelöst, so dass kein AWS-Benutzer beteiligt ist.

Wie kann der Zugriff über den ARN-Identifier des Lambda eingeschränkt werden?

Aktuelle Politik:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "PublicReadGetObject", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:getObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     }, 
     { 
      "Sid": "LambdaPutObject", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:putObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     } 
    ] 
} 

Answer 1

Eigentlich alles, was erforderlich war, war eine Zugriffsrichtlinie für Lambda zu schaffen. Es gibt vordefinierte, wie lambda_basic_execution.

Lambda > Functions > {name} > Roles IAM > Roles

Hier ist eine spezifische Konfiguration, die mir geholfen:

Die Rolle config in der AWS-Konsole im Innern gefunden werden

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "logs:CreateLogGroup", 
       "logs:CreateLogStream", 
       "logs:PutLogEvents" 
      ], 
      "Resource": "arn:aws:logs:*:*:*" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": "s3:PutObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     } 
    ] 
}