IAM 角色代入角色权限

Question

给定一个使用此权限创建的 IAM 角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Effect": "Allow",
      "Sid": "First"
    }
  ]
}

是否有任何信息告诉 AWS 只有 此 账户中的 lambda 函数才能担任该角色。我希望 AWS lambda 在此账户中运行函数时能够承担此角色，但仅在此 AWS 账户中运行 lambda 函数 - 而不是在其他随机 AWS 账户中运行的 lambda 函数，碰巧发现此 IAM 角色的 ARN。

如果使用此配置允许在任何 AWS 账户中运行的任何 lambda 函数担任此角色，那么如何修改此策略以仅允许在我的账户中运行的 lambda 函数担任此角色。

Answer 1

"Service": "lambda.amazonaws.com" 表示您的 IAM 角色只能由 Lambda 担任。

如果您想向其他账户授予代入该角色的权限，您的该角色的 IAM 策略可能如下所示：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AccountNumberThatCanAssumeTheRole>:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {}
    }
  ]
}