Разрешение для пользователя IAM на создание лямбда-функции - PullRequest
Новая
       25

Разрешение для пользователя IAM на создание лямбда-функции

0 голосов
/ 06 апреля 2019

Заранее благодарен за любую помощь!

Итак, как пользователь root, я могу настроить роли IAM и использовать его для создания и запуска лямбда-функций.Однако я хочу, чтобы пользователи в моих организациях могли делать то же самое.Поэтому я настроил некоторых пользователей IAM и назначил им следующие разрешения:

enter image description here Но когда я вошел в AWS как пользователь IAM, кажется, что я ничего не могу поделать с созданиемроли / политики и т. д. (которые необходимы для создания лямбда-функции).Я получаю следующую ошибку:

Пользователь: arn: aws: iam ::: user / xxxxx не авторизован для выполнения: iam: GetAccountSummary на ресурсе.

НоЯ даю пользователю IAMFullAccess.Какой правильный способ сделать это?

1 Ответ

0 голосов
/ 07 апреля 2019

Во-первых, будьте очень внимательны при назначении пользователям «полного» доступа к услугам.

На основании этих разрешений ваши пользователи смогут:

  • Удалить все базы данных RDS
  • Завершить работу всех экземпляров EC2
  • Удалить все репозитории CodeCommit
  • Удалить все лямбда-функции
  • Удалить всех пользователей IAM (включая ваш логин!)
  • Предоставьте себе разрешение на все, что угодно на своем аккаунте AWS!

Наилучшим методом было бы, чтобы системный администратор создал роль IAM для использования лямбда-функцией после проверки ее, чтобы подтвердить, что она не дает чрезмерного разрешения. Затем они предоставят конкретным пользователям разрешение назначать роль лямбда-функции. Я не вижу причин назначать им все эти разрешения (например, RDS, EC2) только для написания лямбда-функции.

Во-вторых, если вы хотите назначить разрешения нескольким пользователям IAM, лучше назначить разрешения для IAM Group , а затем связать группу с каждым пользователем. Таким образом, вы можете настроить разрешения в одном месте, а не делать это для каждого пользователя индивидуально.

Относительно того, почему вы получаете сообщение об ошибке, возможно, существует ограничение для вашей учетной записи с помощью правила AWS Organizations для учетной записи более высокого уровня. В противном случае кажется, что вы назначили довольно щедрые разрешения и не должны получать эту ошибку.

...