amazon-web-services - 将 aws lambda 函数作为服务目录产品调用是一个好习惯吗？

Question

我的 AWS 账户中有一堆 lambda 函数，用于日常内部操作，这些函数应该仅由我账户中的特定用户组调用。这些功能不应该从外部访问。

我在 AWS Service Catalog 中创建了一个组合，其中这些 lambda 函数作为单独的产品，并授予特定组的访问权限，一切都运行良好。

我想知道这是否被认为是一个好的做法。

Answer 1

是的，如果您通常使用服务目录作为在帐户中使用服务的方式，则可以使用该服务来执行此操作。或者，您将看到的最常见模式可能是通过 IAM 用户或用户用于登录管理控制台的角色的 IAM 策略来执行此操作。

我不太清楚“这些功能不应该从外部访问”是什么意思。因为默认情况下无法在账户外部访问功能，即无法从不属于您的 AWS 账户的人员访问这些功能。仅当存在向委托(delegate)人授予 lambda:invoke 操作的 IAM 角色时，才能调用函数。这是某人需要采取的明确行动才能使该政策存在。

所以，是的，您正在做的事情是一个可行的选择，而且还有另一个选择，这一切实际上取决于您是否已经投资于 Service Catalog。我想说，如果您只想为此使用服务目录，那么 IAM 选项可能会更简单、更轻量级，但如果您已经在使用 SC，那么请按照您概述的路线进行操作。