Блог

Главная - Вопросы по программированию - Работает ли правило политики доступа к ресурсам для разных учетных записей (не предполагаемая роль)

Работает ли правило политики доступа к ресурсам для разных учетных записей (не предполагаемая роль)

#amazon-web-services #aws-lambda #amazon-iam

#amazon-web-services #aws-lambda #amazon-iam

Вопрос:

У меня есть функция Lambda в учетной записи AWS «xxxxxxxxxx», и разрешение роли ее выполнения выглядит следующим образом:

 {
            "Action": [
                "dynamodb:PutItem",
            ],
            "Resource": [
                "arn:aws:dynamodb:us-west-2:yyyyyyyyyy:table/testingtable"
            ],
            "Effect": "Allow"
}

По сути, это позволяет лямбда-функции помещать элемент в учетную запись «гггг», которая является другой учетной записью.

Однако, когда я вызываю PutItemRequest для table testingtable в моей лямбда-функции, казалось, что она обращается к таблице той же учетной записи, что и роль «xxxxxxxxxxxx», потому что я получил сообщение об ошибке

 role not authorized to perform: dynamodb:PutItem on resource: arn:aws:dynamodb:us-west-2:xxxxxxxxxxx:table/testingtable

Как мне явно указать клиенту Dynamodb доступ к таблице (или любым другим ресурсам) в другой учетной записи «ггггггггг»? выполнимо ли это? (Я знаю, что могу позволить роли Lambda выполнять роль в учетной записи гггг, но я не хотел этого делать.)

Комментарии:

1. В DynamoDB нет политик на основе ресурсов. Можете ли вы уточнить, что вы делаете? Ваш lambda должен принять роль в другой учетной записи, чтобы получить доступ к базе данных в этой учетной записи.

2. @Marcin Я хочу, чтобы функция Lambda в учетной записи A имела доступ на запись / чтение к базе данных DDB в учетной записи B, не принимая на себя роль учетной записи A. Достижимо ли это? как насчет функции Lambda в учетной записи A, чтобы иметь доступ на запись / чтение к корзине S3 в учетной записи B без принятия роли?

3. Я не думаю, что это возможно. DynamoDB, в отличие от S3, не имеет политик на основе ресурсов. Таким образом, единственная возможность для вашей функции получить доступ к DDB в Acc B — это иметь некоторую роль IAM в Acc B, которую может взять на себя функция с правами доступа к БД. Очевидно, что вы могли бы использовать IAM user в Acc B, если вы не хотите брать на себя роль, но использование ролей IAM является хорошей практикой для доступа между учетными записями.

4. не могли бы вы посоветовать или привести какой-нибудь пример того, как может работать политика на основе ресурсов для S3?

5. Я думаю, это aws.amazon.com/premiumsupport/knowledge-center /…