【AWS Lambda開発者向け】AWS EFSのアクセスポイントのPOSIX所有権を深堀してみる

            
            1. EFSアクセスポイントのPosixUserを指定した場合、Lambda側のPOSIXは無視される
2. PosixUserを指定しなかった場合はLambda側のPOSIXでEFSにアクセスすることになり、
    ルートディレクトリ所有権次第では、操作が行えない可能性がある。
3. PosixUserをルートユーザー"0:0(root:root)"に指定した場合、すべての操作が許可される反面、
    その後、ルートユーザーでしかアクセスできないリソースが発生するリスクがある
4. 特にアプリケーション別の目的が無い限りは、PosixUserもルートディレクトリ設定も
    "1001:1001"等で固定のユーザーを作るほうが使いやすい
5. 固定ユーザー専用のディレクトリとして読み書きしたいならアクセス権限"770/760"、
    固定ユーザー以外もアクセス許可したいなら"777/766"
6. 書き込みはせずに読み出し・閲覧専用でいいなら、
    固定ユーザー専用の権限で"750/740"、他のユーザーまで含めるなら"755/744"
        

            
            Amazon EFSは、アクセスポイントで「0」に設定されたユーザーまたはグループ ID
    をルートユーザーとして扱います。
        

            
            + 新しいファイル・ディレクトリの所有権は、
    アクセスポイントのユーザーID・グループ IDに設定される

+ ルートディレクトリ以下のアクセス許可の評価はすべて
    アクセスポイントのユーザーID・グループID・セカンダリグループIDに考慮され、
    アクセス元のクライアントのIDは無視される
        

            
            OwnerUid:
    ルートディレクトリの所有者として使用するPOSIXユーザーID
OwnerGiD:
    ルートディレクトリの所有者グループとして使用するPOSIXグループID
Permissions:
    アクセス許可を指定する。
    ルートディレクトリのUnixモード値("755"等)
        

            
            //内部でシェルコマンドを利用する
import { execSync } from 'child_process';

//...
        

            
            //...

//Lambdaのレスポンスボディに処理結果を貼り付け
const stdout = execSync('cat /etc/passwd');
res.body.pswd = stdout.toString();
        

            
            root:x:0:0:root:/root:/bin/bash
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
ec2-user:x:996:993::/home/ec2-user:/bin/bash
        

            
            sbx_user1051:x:993:990::/home/sbx_user1051:/sbin/nologin
sbx_user1052:x:992:989::/home/sbx_user1052:/sbin/nologin
sbx_user1053:x:991:988::/home/sbx_user1053:/sbin/nologin
...
sbx_user1176:x:868:865::/home/sbx_user1176:/sbin/nologin
        

            
            EFSAccessPoint:
    PosixUser:
        Uid: "0"
        Gid: "0"
    RootDirectory:
        Path: "/hoge"
        CreationInfo:
            OwnerGid: "1001"
            OwnerUid: "1001"
            Permissions: "700"
        

            
            //...

//Lambda側のマウントパス
const rootDir = '/mnt/lambda';

//LambdaのプロセスPOSIXの確認
execSync(`echo "上書き！" > ${rootDir}/first.txt`);
const stdout1 = execSync(`cat ${rootDir}/first.txt`);

//LambdaのプロセスPOSIXの確認
const stdout2 = execSync('id -a');

//フォルダ・ファイルの所有権の確認
const stdout3 = execSync(`ls -la ${rootDir}`);

//レスポンスボディに処理結果を貼り付け
res.body.firsttext = stdout1.toString();
res.body.posixusrs = stdout2.toString();
res.body.filepermission = stdout3.toString();
        

            
            $ echo "上書き！" > /mnt/lambda/first.txt
$ cat /mnt/lambda/first.txt
上書き！

$ id -a
uid=993(sbx_user1051) gid=990 groups=990

$ ls -la
total 12
drwxr-x--- 2 1001 1001 6144 Jan 16 11:37 .
drwxr-xr-x 3 root root 4096 Jan 16 12:07 ..
-rwx------ 1 root root   52 Jan 16 12:07 first.txt
        

            
            PosixUser:
    Uid: "1001"
    Gid: "1001"
RootDirectory:
    Path: "/hoge"
    CreationInfo:
        OwnerGid: "1001"
        OwnerUid: "1001"
        Permissions: "755"
        

            
            $ echo "上書き！" > /mnt/lambda/first.txt
Command failed: echo \"上書き！\" >> /mnt/lambda/first.txt
/bin/sh: line 1: /mnt/lambda/first.txt: Permission denied
        

            
            PosixUser:
    Uid: "1001"
    Gid: "1001"
RootDirectory:
    Path: "/hoge"
    CreationInfo:
        OwnerGid: "1001"
        OwnerUid: "1001"
        Permissions: "770"
        

            
            PosixUser:
    Uid: "1001"
    Gid: "1001"
RootDirectory:
    Path: "/hoge"
    CreationInfo:
        OwnerGid: "1001"
        OwnerUid: "1001"
        Permissions: "760"
        

            
            $ ls -la /mnt/lambda
total 12
drwx------ 2 1001 1001 6144 Jan 16 11:37 .
#...省略
        

            
            RootDirectory:
    Path: "/piyo"
    CreationInfo:
        OwnerGid: "1002"
        OwnerUid: "1002"
        Permissions: "764"
        

            
            $ ls -la /mnt/lambda
total 12
drwxrw-r-- 2 1002 1002 6144 Jan 16 11:37 .
#...省略
        

            
            $ echo "上書き！" > /mnt/lambda/first.txt
Command failed: echo \"上書き！\" >> /mnt/lambda/first.txt
/bin/sh: line 1: /mnt/lambda/first.txt: Permission denied
        

            
            PosixUser:
    Uid: "1002"
    Gid: "1002"
RootDirectory:
    Path: "/piyo"
    CreationInfo:
        OwnerGid: "1002"
        OwnerUid: "1002"
        Permissions: "764"
        

            
            $ echo "上書き！" > /mnt/lambda/first.txt
$ cat /mnt/lambda/first.txt
上書き！

$ ls -la
total 12
-rwxrw-r-- 1 1002 1002   14 Jan 16 16:17 first.txt
#...
        

            
            PosixUser:
    Uid: "1003"
    Gid: "1003"
RootDirectory:
    Path: "/fuga"
    #👇作成時の所有権と権限を指定しない
    # CreationInfo:
    #   OwnerGid: "1003"
    #   OwnerUid: "1003"
    #   Permissions: "770"
        

            
            Error:
The function couldn't mount the Amazon EFS file system with access point arn:aws:elasticfilesystem:ap-northeast-1:*********:access-point/fsap-************.
error Command failed with exit code 1.
        

            
            1. EFSアクセスポイントのPosixUserを指定した場合、Lambda側のPOSIXは無視される
2. PosixUserを指定しなかった場合はLambda側のPOSIXでEFSにアクセスすることになり、
    ルートディレクトリ所有権次第では、操作が行えない可能性がある。
3. PosixUserをルートユーザー"0:0(root:root)"に指定した場合、すべての操作が許可される反面、
    その後、ルートユーザーでしかアクセスできないリソースが発生するリスクがある
4. 特にアプリケーション別の目的が無い限りは、PosixUserもルートディレクトリ設定も
    "1001:1001"等で固定のユーザーを作るほうが使いやすい
5. 固定ユーザー専用のディレクトリとして読み書きしたいならアクセス権限"770/760"、
    固定ユーザー以外もアクセス許可したいなら"777/766"
6. 書き込みはせずに読み出し・閲覧専用でいいなら、
    固定ユーザー専用の権限で"750/740"、他のユーザーまで含めるなら"755/744"