【CloudFormation】リソースポリシーAWS::Lambda::Permissionの使い方

はじめに

LambdaをCloudFormationで構築していた際に、
Lambdaのリソースベースポリシー（Lambdaを実行する許可）はどう書くのだろう？となりました。
マネジメントコンソールでいう下記⇩

AWS::Lambda::Permissionの使い方

概要

リソースAWS::Lambda::Permissionは、AWS サービスまたは別のアカウントに関数を使用する権限を付与します。関数レベルでポリシーを適用するか、修飾子を指定して単一のバージョンまたはエイリアスへのアクセスを制限することができます。

プロパティ

Type: AWS::Lambda::Permission
Properties:
  Action: String
  EventSourceToken: String
  FunctionName: String
  FunctionUrlAuthType: String
  Principal: String
  PrincipalOrgID: String
  SourceAccount: String
  SourceArn: String

Actionプロパティ

1. lambda:InvokeFunction
   Lambda関数を呼び出すアクション。最もよく使用される。API GatewayやS3がLambdaを呼び出す際に使用させる。
2. lambda:InvokeFunctionUrl
   API GatewayかませずにLambdaのURLを用いて、外部からLambda関数を呼びす際に使用される
3. lambda:GetFunction
   Lambda関数のメタデータ（ARN、ロール、タイムアウト値、メモリサイズなど）を取得するために使用される

FunctionNameプロパティ

Principalプロパティ

1. AWSサービス
   Lambda関数を呼び出すことができる他のAWSサービスを指定する。
   • API Gateway: apigateway.amazonaws.com
   • S3: s3.amazonaws.com
   • CloudWatch Events (EventBridge): events.amazonaws.com
     SourceArn、SourceAccountプロパティで、リソースのARNやAWSアカウントを指定することで権限を付与するリソースを制限することができる。
2. AWSアカウント
   アカウントIDを使用してAWSアカウントをプリンシパルとして指定できる。
3. IAMユーザーまたはロール
   ARNを指定することで、IAMユーザーやロールをプリンシパルとして指定きる。

具体例

API Gateway からの呼び出しを許可

#AWSアカウント123456789のAPIGatewayをプリンシパルに指定し、Lambdaの実行権限を付与する
  MyLambdaPermission:
    Type: AWS::Lambda::Permission
    Properties:
      Action: lambda:InvokeFunction
      FunctionName: !GetAtt MyLambdaFunction.Arn
      Principal: apigateway.amazonaws.com
      SourceAccount: 123456789

# HTTPリクエスト（URLを用いたアクセス）を介したLambda関数の呼び出しを許可する権限を付与する
  MyLambdaPermission:
    Type: AWS::Lambda::Permission
    Properties:
      Action: lambda:InvokeFunctionUrl
      FunctionName: !GetAtt MyLambdaFunction.Arn
      Principal: '*'

終わりに