在存储桶策略中获取 Lambda 角色的 ARN

Question

我正在尝试编写一个存储桶策略，拒绝对我的存储桶的所有访问，但我的特定 Lambda 除外。我正在尝试通过将 Lambda 的角色和假定的角色 ARN 列入白名单来实现这一点，如下面的策略所示。

这样做的原因是因为我在企业 AWS 账户下工作，在该账户中联合用户承担“超级用户”或“只读”角色。 “超级用户”角色对 s3 具有完全访问权限。我不管理这些角色的权限，并且我需要阻止承担“超级用户”角色的其他企业用户访问我的存储桶。

我正在尝试使用 AWS:SourceArn 全局条件上下文键获取角色 ARN，但 AWS:SourceArn 似乎没有按我的预期工作：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "WhitelistRegistryAPILambdaRole",
        "Effect": "Allow",
        "Principal": "*",
        "Action": [
            "s3:PutObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObject"
        ],
        "Resource": [
            "arn:aws:s3:::{BucketName}",
            "arn:aws:s3:::{BucketName}/*"
        ],
        "Condition": {
            "ArnLike": {
                "aws:SourceArn": "arn:aws:iam::{AccountId}:role/{LambdaRoleName}"
            }
        }
    },
    {
        "Sid": "WhitelistRegistryAPILambdaAssumedRole",
        "Effect": "Allow",
        "Principal": "*",
        "Action": [
            "s3:PutObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObject"
        ],
        "Resource": [
            "arn:aws:s3:::{BucketName}",
            "arn:aws:s3:::{BucketName}/*"
        ],
        "Condition": {
            "ArnLike": {
                "AWS:SourceARN": "arn:aws:sts::{AccountId}:assumed-role/{LambdaRoleName}/{LambdaFunctionName}"
            }
        }
    }
]}

docs 表示 aws:SourceArn 全局条件上下文键不适用于所有服务。我正确地接近这个吗？

Answer 1

你是在倒退。

除非您将存储桶公开，否则任何人都无法访问其中的内容。

为 Lambda 创建一个角色，授予其访问存储桶的权限。将角色分配给 Lambda。

现在只有 Lambda 可以访问存储桶。如果其他服务或用户需要访问存储桶，请创建授予该用户或服务访问权限的 IAM 策略或角色。