[AWS CDK]grantメソッドを使って１行で用途に合わせた権限を付与してみた

CDKを使うならいい感じにポリシーを作成してくれるgrantメソッドを使おう

#AWS CDK

#AWS

#Amazon S3

#AWS Lambda

鈴木純

2024.03.28

はじめに

みなさんは CDK でリソースに権限を与える時grant*と書かれたメソッドを使ったことはあるでしょうか？

私は恥ずかしながらこれまで直接ポリシーを記述していたんですが、CDK で用意されている grant メソッドを使うと１行で権限が付与できると聞いたので試してみました。

CloudFormation のノリでポリシーやロールを定義していた方は、紹介する grant メソッドを一度使ってみてください。

最初にまとめ

grant メソッドを使ってみて感じたメリットは大きく２点あります。

ポリシーを記述しないためコード量が少ない
権限を許可する対象がわかりやすい

もし CDK でコードを書いていて、IAM ポリシーやロールが増えてきて複雑になってきたな…という方は是非参考にしてみてください。

具体的には、以下の１行書くだけで「特定のS3バケットへの読み取り権限をLambdaのロールに付与」できます。

bucket.grantRead(lambdaFunction);

実際作成されるポリシーはこんな感じです。

{
    "Version": "2012-10-17",
    "Statement":[
        {
            "Action":[
                "s3:GetBucket*",
                "s3:GetObject*",
                "s3:List*"
           ],
            "Resource":[
                "arn:aws:s3:::{S3Backet}",
                "arn:aws:s3:::{S3Backet}/*"
           ],
            "Effect": "Allow"
        }
   ]
}

１行で読み取り系の権限を付与できていて、対象のバケットへの許可が付与されているのが非常にわかりやすいです。ただし、ある程度用途に合わせた権限が幅広に設定される点は抑えておきましょう。

やってみる

実際に grant メソッドを使った権限付与と、通常のポリシーを書くパターンで比較してみます。

Lambda に 3 バケットに対する読み取り権限を与えるコードを書いてみました。

grantメソッドを使った権限付与

実際に Lambda へ特定の S3 バケットへの読み取り権限を与えたコードがこちらです。

    // S3バケットの作成
    const bucket = new cdk.aws_s3.Bucket(this, "MyBucket");

    // Lambda関数の作成
    const lambdaFunction = new cdk.aws_lambda.Function(
      this,
      "MyLambdaFunction",
      {
        runtime: cdk.aws_lambda.Runtime.PYTHON_3_11,
        handler: "s3_read.handler",
        code: cdk.aws_lambda.Code.fromAsset("app/"),
      }
    );
    // Lambda 関数から S3 バケットへの権限付与
    bucket.grantRead(lambdaFunction);

Lambda に権限を与えているのはbucket.grantRead(lambdaFunction);の部分です。S3 バケットに対し Lambda へ読み取り権限を許可しています。

実際に作成される IAM ポリシーを確認してみると、以下のポリシーが作成されていました。１行でこれが実装できるのは熱いですね。Resource もしっかり対象の S3 バケットに絞られています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:GetBucket*",
                "s3:GetObject*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::cdkigrantablestack-mybucketf68f3ff0-j6pozrvs7gen",
                "arn:aws:s3:::cdkigrantablestack-mybucketf68f3ff0-j6pozrvs7gen/*"
            ],
            "Effect": "Allow"
        }
    ]
}

通常の権限付与

比較用に同じような実装を grant メソッドを使わずに書いた時のコードも載せておきます。ハイライトした部分が grant メソッドを使った時には１行に置き変わります。

    // S3バケットの作成
    const bucket = new cdk.aws_s3.Bucket(this, "MyBucket");

    // IAMポリシーの作成
    const s3ReadPolicy = new iam.PolicyStatement({
      effect: iam.Effect.ALLOW,
      actions: ["s3:GetBucket*", "s3:GetObject*", "s3:List*"],
      resources: [`${bucket.bucketArn}`, `${bucket.bucketArn}/*`],
    });

    // IAMロールの作成
    const lambdaRole = new iam.Role(this, "LambdaRole", {
      assumedBy: new iam.ServicePrincipal("lambda.amazonaws.com"),
      managedPolicies: [
        iam.ManagedPolicy.fromAwsManagedPolicyName(
          "service-role/AWSLambdaBasicExecutionRole"
        ),
      ],
    });

    // ポリシーをIAMロールに割り当てる
    lambdaRole.addToPolicy(s3ReadPolicy);

    // Lambda関数の作成
    const lambdaFunction = new cdk.aws_lambda.Function(
      this,
      "MyLambdaFunction",
      {
        runtime: cdk.aws_lambda.Runtime.PYTHON_3_11,
        handler: "s3_read.handler",
        code: cdk.aws_lambda.Code.fromAsset("app/"),
        role: lambdaRole, // IAMロールを割り当てる
      }
    );

こうしてみると、どの程度コードが減るのか一目瞭然ですね。grant メソッドを使うメリットを感じていただけたかと思います。