允许 Lambda 函数以独占方式将对象放入 S3 存储桶

Question

我当前的 S3 存储桶策略全局启用 s3:getObject 和 s3:putObject，我正试图通过指定存储桶策略来限制它。

虽然s3:getObject 是安全的，但我想限制对s3:putObject 的访问仅限于特定的AWS Lambda 函数。

该函数通过对 CloudFront 的 HTTP 请求匿名触发，因此不涉及 AWS 用户。

如何通过 Lambda 的 ARN 标识符限制访问？

现行政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:getObject",
            "Resource": "arn:aws:s3:::{bucket_name}/*"
        },
        {
            "Sid": "LambdaPutObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:putObject",
            "Resource": "arn:aws:s3:::{bucket_name}/*"
        }
    ]
}

Answer 1

实际上，只需为 Lambda 创建访问策略。有预定义的，比如lambda_basic_execution。

角色配置可以在AWS控制台里面找到：

Lambda > Functions > {name} > Roles IAM > Roles

这是帮助我的特定配置：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::{bucket_name}/*"
        }
    ]
}