amazon-web-services - Lambda Resource-Based Policy 中 principal 和 source-account 的区别

Question

在Documentation对于 Lambda 的基于资源的策略，它提到最好包含 source-account incase，例如您指定了一个 source-arn ，它引用了一个 s3 存储桶arn 中没有帐户 ID，因此如果您不走运并且有人删除了您的存储桶，而另一个帐户创建了一个同名存储桶，他们可以间接访问您的 Lambda 函数。

但是你也有一个 Principal 的符号，就像他们有的一个例子一样:

"Principal":{"AWS":"arn:aws:iam::210987654321:root"}

Principal 和 source-account 有什么区别。当您想将权限细化到帐户中的特定角色或用户时，您是否使用 Principal？如果这不是您的情况，并且您只想授予从整个帐户访问您的 Lambda 的权限，您会使用 source-account 吗？

Answer 1

使用 aws:SourceAccount 的一个原因是 The Confused Deputy Problem 的缓解.

具体来说，在 S3 的上下文中，使用它是为了不将 S3 视为混淆代理。