Autorisation d'une fonction Lambda pour placer exclusivement des objets dans un compartiment S3

Question

Ma stratégie de compartiment S3 active globalement s3:getObject et s3:putObject globalement et j'essaie de limiter cela en spécifiant une stratégie de compartiment.

Alors que s3:getObject est sûr, je voudrais limiter l'accès à s3:putObject uniquement à une fonction AWS Lambda particulière.

La fonction est déclenchée de manière anonyme via une requête HTTP vers CloudFront, donc aucun utilisateur AWS n'est impliqué. Comment limiter l'accès via l'identifiant ARN de Lambda?

La politique actuelle:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "PublicReadGetObject", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:getObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     }, 
     { 
      "Sid": "LambdaPutObject", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:putObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     } 
    ] 
} 

Answer 1

En fait, tout ce qui était nécessaire était de créer une politique d'accès pour Lambda. Il y en a des prédéfinis, comme lambda_basic_execution.

La configuration de rôle se trouvent dans la console AWS à l'intérieur:

Lambda > Functions > {name} > Roles IAM > Roles

Voici une configuration spécifique qui m'a aidé:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "logs:CreateLogGroup", 
       "logs:CreateLogStream", 
       "logs:PutLogEvents" 
      ], 
      "Resource": "arn:aws:logs:*:*:*" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": "s3:PutObject", 
      "Resource": "arn:aws:s3:::{bucket_name}/*" 
     } 
    ] 
}