Permisos mínimos por función

Una función de AWS Lambda tiene dos lados de permisos. El rol de ejecución dice qué puede hacer la función con otros recursos cuando corre: leer una tabla, publicar en un tema, escribir un registro. La política basada en recurso de la propia función dice quién puede invocarla: un servicio, una cuenta, una persona.

Confundirlas es un error frecuente: un rol de ejecución sobrio no sirve de nada si cualquiera puede invocar la función, y una invocación bien restringida no ayuda si el rol puede hacerlo todo.

El principio de mínimo privilegio, aplicado a funciones, pide un rol por función con solo las acciones y los recursos que esa función necesita. Abre funciones.txt para ver qué rol usa cada una y revisa los cuatro archivos rol-fn-*.json. Una política con acción * sobre recurso * equivale a administrador de la cuenta.

Compartir un rol entre funciones es cómodo al principio: una sola política, un solo permiso que pedir. El costo aparece cuando una de las funciones falla o se compromete.

Una forma práctica de recortar un rol es comparar lo que permite con lo que ejecutó en un periodo. Lo que no se usó en 90 días es candidato a quitarse, tras confirmarlo con el equipo dueño. Compara rol-fn-notificar.json con uso-reciente-rol-fn-notificar.txt.

politicas-de-invocacion.json recoge las políticas basadas en recurso de tres funciones. Una condición como AWS:SourceArn ata la invocación a un origen concreto; un principal * sin condición la abre a cualquiera que conozca el nombre de la función y tenga forma de llamarla.