添加基于资源的策略与 IAM 策略

Question

我想要一个

lambda

访问秘密管理器。

出于超出此问题范围的原因，我想采用基于资源的政策。

所以我正在考虑在特定的 SM 秘密中允许主体

lambda-my-lambda

。

我还需要向 lambda 执行者角色添加特定的 IAM 策略吗？

或者仅基于资源的策略允许

lambda-my-lambda

访问机密的管理员机密？

Answer 1

任何一个本身就足够了。

基于身份的政策 =“入境通行证”

• 权限策略附加到您的 Lambda 角色

基于资源的政策=“宾客名单”

• 权限策略附在 Secret 中

• "Principal": <Lambda Role ARN>

Answer 2

本页完美地解释了这个概念：

https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_identity-vs-resource.html