1.3. Lambda実行許可の追加 (SNS: config-monitor)¶
作業の目的 [why]¶
Lambda関数"config-monitor"の実行権限を"sns.amazonaws.com"に付与します。
完了条件/事前条件 [設計者用情報]
完了条件 [after]
主処理は、以下を満たしたときに成功したものとします。
- 完了条件1
- Lambda関数"config-monitor"にステートメントID"config-monitor-from-sns-topic-config-topic"のポリシが付与されている。
- 完了条件2
- Lambda関数"config-monitor"の実行権限がSNSトピック"config-topic"に付与されている。
事前条件 [before]
主処理の実施は、以下の状態であることを前提とします。
- 事前条件1
- Lambda関数"config-monitor"が存在する。
- 事前条件2
- SNSトピック"config-topic"が存在する。
- 事前条件3
- Lambda関数"config-monitor"にステートメントID"config-monitor-from-sns-topic-config-topic"のポリシが付与されていない。
作業対象 [what]¶
- Lambdaサービス
標準時間(合計)¶
8分
パラメータ設定¶
| パラメータ設定の標準時間: | 2分 |
|---|
作業に必要なモノ・情報 [resource]¶
作業開始には、以下が全て揃っていることが必要です。
リソース1: Lambda関数名
- 実行対象となるLambda関数の名称です。
- 今回は"config-monitor"とします。
リソース2: LambdaステートメントID
- Lambda関数に対して許可するステートメントIDです。
- 今回は"config-monitor-from-sns-topic-config-topic"とします。
リソース3: Lambdaアクション名
- Lambda関数に対して許可するアクション名です。
- 今回は"lambda:InvokeFunction"とします。
リソース4: プリンシパル名
- Lambda関数の実行を許可する対象です。
- 今回は"sns.amazonaws.com"とします。
リソース5: SNSトピック名
- Lambda関数の実行を行うSNSトピック名です。
- 今回は"config-topic"とします。
パラメータの指定¶
作業に必要なパラメータを変数に格納をします。
0.2. LambdaステートメントIDの指定¶
LambdaステートメントIDを指定します。
変数の設定:
LAMBDA_STATEMENT_ID='config-monitor-from-sns-topic-config-topic'
パラメータの保存¶
設定されている変数の保存先となるファイル名を指定します。
変数の設定:
DIR_PARAMETER="${HOME}/tmp/parameter-handson-cli" FILE_PARAMETER="${DIR_PARAMETER}/$(date +%Y-%m-%d)-lambda-permission-create-expand-sns.env" \ && echo ${FILE_PARAMETER}
結果(例):
${HOME}/tmp/parameter-handson-cli/2019-04-30-lambda-permission-create-expand-sns.env
各変数に正しいパラメータ値が格納されていることを確認しながら保存します。
変数の確認:
cat << EOF > ${FILE_PARAMETER} # 0.0. AWS_DEFAULT_REGION:"<リージョン名>" AWS_DEFAULT_REGION="${AWS_DEFAULT_REGION}" # 0.1. LAMBDA_FUNCTION_NAME:"config-monitor" LAMBDA_FUNCTION_NAME="${LAMBDA_FUNCTION_NAME}" # 0.2. LAMBDA_STATEMENT_ID:"config-monitor-from-sns-topic-config-topic" LAMBDA_STATEMENT_ID="${LAMBDA_STATEMENT_ID}" # 0.3. LAMBDA_PERMIT_ACTION:"lambda:InvokeFunction" LAMBDA_PERMIT_ACTION="${LAMBDA_PERMIT_ACTION}" # 0.4. LAMBDA_PERMIT_PRINCIPAL:"sns.amazonaws.com" LAMBDA_PERMIT_PRINCIPAL="${LAMBDA_PERMIT_PRINCIPAL}" # 0.5. SNS_TOPIC_NAME:"config-topic" SNS_TOPIC_NAME="${SNS_TOPIC_NAME}" EOF cat ${FILE_PARAMETER}
下段の変数が入っていない、もしくは上段と同等の値が入っていない場合は、それぞれの手順番号に戻って変数の設定を行います。
タスクの実施¶
| タスク標準時間: | 6分 |
|---|
1. 前処理¶
1.1. 処理対象の状態確認¶
主処理の実施は、以下の状態であることを前提とします。
前提と異なることが判明した場合、直ちに処理を中止します。
事前条件1: Lambda関数"config-monitor"が存在する。
「Lambda関数"config-monitor"が存在する。」ことを確認します。
コマンド:
aws lambda list-functions \ --query "Functions[?FunctionName == \`${LAMBDA_FUNCTION_NAME}\`].FunctionName" \ --output text
結果(例):
config-monitor
事前条件2: SNSトピック"config-topic"が存在する。
「SNSトピック"config-topic"が存在する。」ことを確認します。
コマンド:
aws sns list-topics \ --query "Topics[?contains(TopicArn, \`${SNS_TOPIC_NAME}\`)].TopicArn" \ --output text
結果(例):
arn:aws:sns:<リージョン名>:XXXXXXXXXXXX:config-topic
事前条件3: Lambda関数"config-monitor"にステートメントID"config-monitor-from-sns-topic-config-topic"のポリシが付与されていない。
「Lambda関数"config-monitor"にステートメントID"config-monitor-from-sns-topic-config-topic"のポリシが付与されていない。」ことを確認します。
コマンド:
! aws lambda get-policy \ --function-name ${LAMBDA_FUNCTION_NAME} \ --query 'Policy' \ --output text
結果(例):
An error occurred (ResourceNotFoundException) when calling the GetPolicy operation: The resource you requested does not exist.
1.2. 主処理に必要な情報の取得¶
SNSトピックのARN取得
変数の設定:
SNS_TOPIC_ARN=$( \ aws sns list-topics \ --query "Topics[?contains(TopicArn, \`${SNS_TOPIC_NAME}\`)].TopicArn" \ --output text \ ) \ && echo ${SNS_TOPIC_ARN}
結果(例):
arn:aws:sns:<リージョン名>:XXXXXXXXXXXX:config-topic
ソースARNの変数格納
変数の設定:
SOURCE_ARN="${SNS_TOPIC_ARN}" \ && echo ${SOURCE_ARN}
結果(例):
arn:aws:sns:<リージョン名>:XXXXXXXXXXXX:config-topic
2. 主処理¶
Lambda実行権限の追加¶
変数の確認:
cat << ETX # LAMBDA_FUNCTION_NAME:"config-monitor" LAMBDA_FUNCTION_NAME="${LAMBDA_FUNCTION_NAME}" # LAMBDA_STATEMENT_ID:"config-monitor-from-sns-topic-config-topic" LAMBDA_STATEMENT_ID="${LAMBDA_STATEMENT_ID}" # LAMBDA_PERMIT_ACTION:"lambda:InvokeFunction" LAMBDA_PERMIT_ACTION="${LAMBDA_PERMIT_ACTION}" # LAMBDA_PERMIT_PRINCIPAL:"sns.amazonaws.com" LAMBDA_PERMIT_PRINCIPAL="${LAMBDA_PERMIT_PRINCIPAL}" # SOURCE_ARN:"arn:aws:sns:<リージョン名>:XXXXXXXXXXXX:config-topic" SOURCE_ARN="${SOURCE_ARN}" ETX
コマンド:
aws lambda add-permission \ --function-name ${LAMBDA_FUNCTION_NAME} \ --statement-id ${LAMBDA_STATEMENT_ID} \ --action ${LAMBDA_PERMIT_ACTION} \ --principal ${LAMBDA_PERMIT_PRINCIPAL} \ --source-arn ${SOURCE_ARN}
結果(例):
{ "Policy": "{\"Version\":\"2012-10-17\",\"Id\":\"default\",\"Statement\":[{\"Sid\":\"config-monitor-from-sns-topic-config-topic\",\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"sns.amazonaws.com\"},\"Action\":\"lambda:InvokeFunction\",\"Resource\":\"arn:aws:lambda:<リージョン名>:\ XXXXXXXXXXXX\ :function:config-monitor\",\"Condition\":{\"ArnLike\":{\"AWS:SourceArn\":\"arn:aws:sns:<リージョン名>:XXXXXXXXXXXX:config-topic\"}}}]}" }
3. 後処理¶
完了条件の確認¶
主処理は、以下を満たしたときに成功したものとします。
完了条件1: Lambda関数"config-monitor"にステートメントID"config-monitor-from-sns-topic-config-topic"のポリシが付与されている。
「Lambda関数"config-monitor"にステートメントID"config-monitor-from-sns-topic-config-topic"のポリシが付与されている。」ことを確認します。
コマンド:
aws lambda get-policy \ --function-name ${LAMBDA_FUNCTION_NAME} \ --query 'Policy' \ --output text \ | jp.py "Statement[?Sid == \`${LAMBDA_STATEMENT_ID}\`].Sid" \ | tr -d '[]\"\n ' \ && echo -e ""
結果(例):
config-monitor-from-sns-topic-config-topic
完了条件2: Lambda関数"config-monitor"の実行権限がSNSトピック"config-topic"に付与されている。
「Lambda関数"config-monitor"の実行権限がSNSトピック"config-topic"に付与されている。」ことを確認します。
コマンド:
aws lambda get-policy \ --function-name ${LAMBDA_FUNCTION_NAME} \ --query 'Policy' \ --output text
結果(例):
{"Version":"2012-10-17","Id":"default","Statement":[{"Sid":"config-monitor-from-sns-topic-config-topic","Effect":"Allow","Principal":{"Service":"sns.amazonaws.com"},"Action":"lambda:InvokeFunction","Resource":"arn:aws:lambda:<リージョン名>:XXXXXXXXXXXX:function:config-monitor","Condition":{"ArnLike":{"AWS:SourceArn":"arn:aws:sns:<リージョン名>:XXXXXXXXXXXX:config-topic"}}}]}