dawson-cli安全指南：配置IAM策略与API Gateway授权的最佳实践

dawson-cli安全指南：配置IAM策略与API Gateway授权的最佳实践

【免费下载链接】dawson-cliA serverless web framework for Node.js on AWS (CloudFormation, CloudFront, API Gateway, Lambda)项目地址: https://gitcode.com/gh_mirrors/da/dawson-cli

dawson-cli是一个基于AWS的无服务器Web框架，专为Node.js应用设计，集成了CloudFormation、CloudFront、API Gateway和Lambda等服务。本指南将详细介绍如何在dawson-cli项目中配置IAM策略和API Gateway授权，帮助开发者构建安全可靠的无服务器应用。

为什么IAM策略和API Gateway授权至关重要？

在无服务器架构中，权限管理是保障应用安全的核心环节。IAM（Identity and Access Management）策略控制着AWS资源的访问权限，而API Gateway授权则确保只有经过验证的用户才能访问你的API端点。错误的配置可能导致未授权访问、数据泄露甚至服务滥用，因此遵循最佳实践至关重要。

dawson-cli通过CloudFormation自动管理大部分基础设施，包括IAM角色和策略。根据docs/README.md中的说明，dawson-cli创建的CloudFormation堆栈包含IAM角色和策略，并且默认启用了CAPABILITY_NAMED_IAM，允许创建命名的IAM资源。

IAM策略配置最佳实践

1. 遵循最小权限原则

为Lambda函数配置IAM策略时，应遵循最小权限原则，只授予函数执行其任务所必需的权限。dawson-cli允许你通过函数的policyStatements属性定义自定义IAM策略语句。

示例：为函数添加DynamoDB访问权限

export async function listProjects(event) { const tableName = process.env.DAWSON_TableMyProjects; const response = await dynamodb.scan({ TableName: tableName }).promise(); return { projects: response.Items }; } listProjects.api = { path: 'projects', responseContentType: 'application/json', policyStatements: [{ Effect: "Allow", Action: ["dynamodb:Scan"], Resource: { 'Fn::GetAtt': ['TableMyProjects', 'Arn'] } }] };

在这个例子中，policyStatements数组定义了一个允许扫描特定DynamoDB表的策略。使用Fn::GetAtt引用资源的ARN，而不是硬编码，确保了策略的灵活性和安全性。

2. 避免使用通配符权限

尽量避免在IAM策略中使用通配符（*），特别是在Resource字段中。通配符可能无意中授予过多的权限。如果必须使用通配符，确保它被限制在特定的资源类型或路径下。

错误示例：过度宽松的权限

{ Effect: "Allow", Action: ["s3:*"], Resource: ["*"] }

正确示例：限制资源和操作

{ Effect: "Allow", Action: ["s3:PutObject"], Resource: [{ 'Fn::Sub': 'arn:aws:s3:::${BucketAssets}/*' }] }

3. 使用环境变量引用资源

dawson-cli会自动将CloudFormation模板的输出作为环境变量注入到Lambda函数中。使用这些环境变量来引用资源，而不是硬编码资源名称或ARN。

例如，要访问S3资产桶，可以使用process.env.DAWSON_BucketAssets：

const bucketName = process.env.DAWSON_BucketAssets;

这种方法确保即使资源名称发生变化，函数仍然能够正确引用它们，同时避免在代码中暴露敏感信息。

4. 定期审查和更新策略

随着项目的发展，定期审查和更新IAM策略至关重要。移除不再需要的权限，确保现有权限仍然符合最小权限原则。使用dawson describe命令可以查看当前部署的资源和权限配置。

API Gateway授权配置最佳实践

1. 使用自定义授权器

dawson-cli支持为API端点配置自定义授权器，通过authorizer属性指定。自定义授权器是一个Lambda函数，用于验证请求的身份验证令牌，并返回允许或拒绝访问的策略。

示例：配置自定义授权器

// 授权器函数 export function myAuthorizer(event, context, callback) { // 验证逻辑 const token = event.authorizationToken; if (token === 'valid-token') { callback(null, generatePolicy('user', 'Allow', event.methodArn)); } else { callback('Unauthorized'); } } myAuthorizer.api = { path: false // 不创建HTTP端点 }; // 使用授权器的API函数 export function protectedResource(event) { return { message: 'This is a protected resource' }; } protectedResource.api = { path: 'protected', method: 'GET', authorizer: myAuthorizer, // 指定授权器 responseContentType: 'application/json' };

在这个例子中，myAuthorizer函数被指定为protectedResource函数的授权器。授权器函数必须将path设置为false，表示不创建HTTP端点。

2. 配置CORS

跨域资源共享（CORS）配置对于保护API免受未授权跨域请求至关重要。dawson-cli允许你通过修改CloudFormation模板来配置CORS设置。

示例：使用processCFTemplate函数配置CORS

export function processCFTemplate(template) { // 修改API Gateway资源以添加CORS配置 template.Resources.ApiGatewayMethod.options = { Type: 'AWS::ApiGateway::Method', Properties: { RestApiId: { Ref: 'ApiGatewayRestApi' }, ResourceId: { Ref: 'ApiGatewayResource' }, HttpMethod: 'OPTIONS', AuthorizationType: 'NONE', MethodResponses: [ { StatusCode: '200', ResponseParameters: { 'method.response.header.Access-Control-Allow-Origin': true, 'method.response.header.Access-Control-Allow-Methods': true, 'method.response.header.Access-Control-Allow-Headers': true } } ], Integration: { Type: 'MOCK', IntegrationResponses: [ { StatusCode: '200', ResponseParameters: { 'method.response.header.Access-Control-Allow-Origin': "'https://yourdomain.com'", 'method.response.header.Access-Control-Allow-Methods': "'GET,POST,PUT,DELETE,OPTIONS'", 'method.response.header.Access-Control-Allow-Headers': "'Content-Type,Authorization'" } } ], RequestTemplates: { 'application/json': '{"statusCode": 200}' } } } }; return template; }

这个例子添加了一个OPTIONS方法和相应的CORS头，限制允许的源、方法和头。

3. 启用API Gateway日志记录

启用API Gateway的访问日志记录可以帮助你监控和审计API请求，及时发现异常访问模式。dawson-cli默认会为生产环境配置AWS WAF WebACL，你可以通过修改CloudFormation模板进一步增强日志记录。

4. 使用HTTPS

dawson-cli强烈建议使用HTTPS来保护API通信。通过在package.json的dawson.cloudfront配置中指定自定义域名，dawson-cli会自动请求AWS ACM证书并配置CloudFront使用HTTPS。

示例：配置自定义域名和HTTPS

{ "dawson": { "cloudfront": { "production": "api.yourdomain.com" } } }

当指定自定义域名后，dawson-cli会搜索或请求相应的SSL/TLS证书，并配置CloudFront仅接受HTTPS连接。

总结

正确配置IAM策略和API Gateway授权是确保dawson-cli应用安全的关键步骤。通过遵循最小权限原则、使用自定义授权器、配置CORS、启用日志记录和强制使用HTTPS，你可以显著提高应用的安全性。

dawson-cli的设计理念是简化AWS资源的管理，同时提供足够的灵活性来自定义安全配置。利用policyStatements、authorizer属性以及customTemplateFragment和processCFTemplate函数，你可以构建既安全又灵活的无服务器应用。

定期审查和更新你的安全配置，保持对AWS安全最佳实践的了解，是维护应用长期安全的重要习惯。

【免费下载链接】dawson-cliA serverless web framework for Node.js on AWS (CloudFormation, CloudFront, API Gateway, Lambda)项目地址: https://gitcode.com/gh_mirrors/da/dawson-cli