開発者はAWS CLIを使用して新しいAWS Lambda関数を作成し、その関数にAmazon S3バケットへの読み取りアクセス権を持つIAM実行ロールを割り当てようとしています。しかし、関数の作成コマンドの実行時に権限

Question

開発者はAWS CLIを使用して新しいAWS Lambda関数を作成し、その関数にAmazon S3バケットへの読み取りアクセス権を持つIAM実行ロールを割り当てようとしています。しかし、関数の作成コマンドの実行時に権限エラーが発生しました。開発者が使用しているIAMユーザーに不足している可能性が最も高いIAMアクション権限はどれですか。

Accepted Answer

正解: iam:PassRole。ユーザーがAWSサービス（Lambda、EC2など）に対してIAMロールを割り当てる（渡す）場合、そのユーザー自身に `iam:PassRole` 権限が付与されている必要があります。これにより、権限のないユーザーが特権を持つロールをサービスに割り当てて不正に権限昇格を行うことを防ぎます。Lambda関数の作成時にロールを指定して権限エラーになった場合、この `iam:PassRole` が不足していることが原因です。

Answer

iam:CreateRole — ロールを新しく「作成」するわけではなく、既存のロールをLambdaに「割り当てる」操作で失敗しているため不適切です。

Answer

sts:AssumeRole — sts:AssumeRoleはエンティティ（ユーザーやサービス）が一時的に別のロールの権限を引き受けるためのものであり、ロールをサービスに割り当てる権限ではありません。

Answer

lambda:AddPermission — lambda:AddPermissionはLambda関数のリソースベースポリシーを変更する（例：API Gatewayからの呼び出しを許可する）ためのものであり、実行ロールの付与とは異なります。

解説