Lambda 関数ポリシー削除方法ついて

#AWS Lambda

#AWS

yusuke

2017.07.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

Lambda 関数ポリシー削除方法についてのご紹介です。

Lambda 関数ポリシー

Lambda 関数ポリシーはLambda 関数の呼び出し権限を管理するために使用されます。例えばS3にLambda 関数を呼び出す権限を付与する場合です。

今回マネジメントコンソールにてLambda をS3イベントにて動かそうと設定していたところ、バケットを間違えて設定していました。トリガーを削除して再度設定をしたのですが、関数ポリシーからは削除されていませんでした。

関数ポリシー

関数ポリシーの内容

{
"Version": "2012-10-17",
"Id": "default",
"Statement": [
{
"Sid": "lc-aaaaaaaa-****-****-****-***********",
"Effect": "Allow",
"Principal": {
"Service": "s3.amazonaws.com"
},
"Action": "lambda:InvokeFunction",
"Resource": "arn:aws:lambda:us-west-2:***********:function:関数名",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "***********"
},
"ArnLike": {
"AWS:SourceArn": "arn:aws:s3:::バケット名A" →間違えたバケット名で設定
}
}
},
{
"Sid": "lc-bbbbbbbb-****-****-****-***********",
"Effect": "Allow",
"Principal": {
"Service": "s3.amazonaws.com"
},
"Action": "lambda:InvokeFunction",
"Resource": "arn:aws:lambda:us-west-2:***********:function:関数名",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "***********"
},
"ArnLike": {
"AWS:SourceArn": "arn:aws:s3:::バケット名B"　→正しいバケット名で設定
}
}
}
]
}

このままでも修正後のポリシーがあるので動くのですが、正しい状態にしておきたいので間違えて設定したポリシーを削除します。

対応方法

ドキュメントを見たところAWS CLIを使用して削除するようです。

AWS Lambda でリソースベースのポリシーを使用する (Lambda 関数ポリシー)

例 5: Lambda 関数ポリシーからアクセス権限を削除する Lambda 関数ポリシーからアクセス権限を削除するには、remove-permission コマンドを使用して、関数名とステートメント ID を指定します。

今回はSID[lc-aaaaaaaa-****-****-****-***********]を削除します。

functionname=関数名
statementid=lc-aaaaaaaa-****-****-****-***********
regionname=us-west-2
profilename=プロファイル名

$ aws lambda remove-permission \
> --function-name ${functionname} \
> --statement-id ${statementid} \
> --region ${regionname} \
> --profile ${profilename}

確認

AWS CLIで確認

$ aws lambda get-policy \
> --function-name ${functionname} \
> --region ${regionname} \
> --profile ${profilename}
{
"Policy": "{\"Version\":\"2012-10-17\",\"Id\":\"default\",\"Statement\":[{\"Sid\":\"lc-bbbbbbbb-****-****-****-****************\",\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"s3.amazonaws.com\"},\"Action\":\"lambda:InvokeFunction\",\"Resource\":\"arn:aws:lambda:us-west-2:****************:function:関数名\",\"Condition\":{\"StringEquals\":{\"AWS:SourceAccount\":\"****************\"},\"ArnLike\":{\"AWS:SourceArn\":\"arn:aws:s3:::バケットB\"}}}]}"
}