IAM-rollen voor Lambda-beveiliging

Stel je je Lambda-functie voor als een kleine medewerker. Om zijn werk te doen, zoals gegevens opslaan in een database of e-mails versturen, heeft hij toestemming nodig om met andere AWS-services te communiceren.

Zonder de juiste machtigingen lijkt je functie op een medewerker zonder sleutel van het kantoor: hij kan geen toegang krijgen tot de hulpmiddelen die hij nodig heeft!

In AWS is een IAM-rol (Identity and Access Management-rol) een verzameling machtigingen die je kan toewijzen aan AWS-services, zoals Lambda-functies, of aan gebruikers.

In tegenstelling tot een IAM-gebruiker heeft een rol geen eigen referenties. In plaats daarvan neemt een entiteit, zoals je Lambda-functie, de rol tijdelijk aan om de bijbehorende machtigingen te krijgen.

Elke IAM-rol heeft een vertrouwensbeleid. Dit beleid bepaalt wie of wat de rol mag aannemen.

Voor een Lambda-functie staat het vertrouwensbeleid doorgaans toe dat de Lambda-service de rol namens je functie aanneemt. Dit is essentieel om je functie de machtigingen van de rol te geven.

Zo ziet een gebruikelijk vertrouwensbeleid voor een Lambda-uitvoeringsrol eruit. Let op 'Service': 'lambda.amazonaws.com', waarmee expliciet vertrouwen wordt verleend aan de Lambda-service.

Zodra een entiteit een rol aanneemt dankzij het vertrouwensbeleid, bepaalt het machtigingsbeleid welke acties die entiteit mag uitvoeren op welke resources.

• Actie: Wat er mag worden gedaan, bijvoorbeeld s3:GetObject of dynamodb:PutItem.
• Resource: Op welke specifieke AWS-resource, bijvoorbeeld een S3-bucket of een DynamoDB-tabel.
• Effect: Of de actie Allow of Deny is.

Een belangrijk beveiligingsconcept voor IAM-rollen is het principe van minimale machtigingen. Dit betekent dat je alleen de minimale machtigingen moet verlenen die een functie nodig heeft om haar taak uit te voeren, en niets meer.

Rollen met te veel machtigingen kunnen beveiligingskwetsbaarheden veroorzaken. Vraag jezelf altijd af: 'Wat moet deze functie precies doen?'

Elke Lambda-functie stuurt standaard haar logboeken naar Amazon CloudWatch. Daarvoor heeft haar uitvoeringsrol specifieke machtigingen nodig om loggroepen te maken en loggebeurtenissen te plaatsen.

Dit beleid verleent die essentiële machtigingen voor logboeken:

Als je Lambda-functie bestanden uit een specifieke Amazon S3-bucket moet lezen, koppel je een machtigingsbeleid zoals dit aan haar uitvoeringsrol. Hiermee kan de functie lezen (s3:GetObject), maar niet schrijven of verwijderen.

Je maakt doorgaans een IAM-rol in de AWS Management Console of via de AWS CLI/SDK, waarbij je het vertrouwensbeleid en de machtigingsbeleidsregels opgeeft.

Wanneer je vervolgens een Lambda-functie maakt of bijwerkt, selecteer je deze IAM-rol als haar uitvoeringsrol. Zo koppel je de functie aan de gedefinieerde machtigingen.

Je hebt geleerd waarom IAM-rollen belangrijk zijn voor Lambda-functies:

• Rollen geven Lambda machtigingen om met andere AWS-services te communiceren.
• Een vertrouwensbeleid staat de Lambda-service toe de rol aan te nemen.
• Machtigingsbeleid bepaalt specifieke acties op specifieke resources.
• Volg voor de beveiliging altijd het principe van minimale machtigingen.

Goed geconfigureerde IAM-rollen zijn fundamenteel voor het bouwen van veilige en goed werkende serverloze applicaties.