amazon-web-services - Cloudformation 策略是否堆叠(它们是否具有传递性)？

Question

我正在开发一个 lambda 函数 A，它访问另一个访问数据库 C 的 lambda 函数 B，并且想知道是否IAM 策略是可传递的。

A <-> B <-> C

B 可以使用 cloudformation 中的策略访问 C(附录中的示例)

A 可以使用此策略访问 B(同样在下面，请原谅 JSON 和 YAML 的混合)

我的问题是:

B 可以访问 C 是否意味着如果 A 调用 B 那么 B 将能够访问 C，还是 A 也需要显式访问 C？

---

附录

授予B访问C的策略:

- PolicyName: RDSAccess
  PolicyDocument:
    Version: "2012-10-17"
    Statement:
    - Effect: Allow
      Action:
      - "rds-data:ExecuteStatement"
      Resource:
      - !Ref DBClusterARN

授予 A 访问 B 的策略。

"managementaccesspolicy": {
      "DependsOn": [
        "LambdaExecutionRole"
      ],
      "Type": "AWS::IAM::Policy",
      "Properties": {
        "PolicyName": "management-access-policy",
        "Roles": [
          {
            "Ref": "LambdaExecutionRole"
          }
        ],
        "PolicyDocument": {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": "lambda:InvokeFunction",
              "Resource": {
                "Fn::Sub": [
                  "arn:aws:lambda:${region}:${account}:function:*",
                  {
                    "region": {
                      "Ref": "AWS::Region"
                    },
                    "account": {
                      "Ref": "AWS::AccountId"
                    }
                  }
                ]
              }
            }
          ]
        }
      }
    }

Answer 1

Does the fact that B can access C mean that if A calls B then B will be able to access C, or does A also need explicit access to C?

它不可传递。如果唯一可以访问 DB secret 的函数是 C，那么只有 C 可以访问 DB。

在这种情况下，A必须调用C来访问DB。