Когда / как использовать границу разрешений в бессерверной функции?

В этом случае я бы не рекомендовал использовать границы разрешений. Вышеупомянутые разрешения создаются SAM по умолчанию. Если вам нужны более строгие разрешения, то вы можете создать свою собственную роль и использовать ее вместо той, которая автоматически создается SAM.

Если вы используете свою собственную роль, SAM не будет добавлять к ней дополнительные разрешения, поэтому вы можете настроить ее в соответствии с вашими потребностями.

Вот пример того, как это можно сделать.

Transform: 'AWS::Serverless-2016-10-31'
Resources:
    ThumbnailFunction:
        Type: 'AWS::Serverless::Function'
        Properties:
            Runtime: nodejs8.10
            Handler: index.handler
            CodeUri: ./src
            Role: !GetAtt FunctionInvokeRole.Arn
            Events:
                MySQSEvent:
                    Type: SQS
                    Properties:
                        Queue: !GetAtt somequeue.Arn
                        BatchSize: 10

    somequeue:
        Type: AWS::SQS::Queue

    FunctionInvokeRole:
        Type: AWS::IAM::Role
        Properties:
            AssumeRolePolicyDocument:
                Version: '2012-10-17'
                Statement:
                    - Effect: 'Allow'
                      Principal:
                          Service:
                              - 'lambda.amazonaws.com'
                      Action:
                          - 'sts:AssumeRole'
            Policies:
                - PolicyName: 'root'
                  PolicyDocument:
                      Version: '2012-10-17'
                      Statement:
                          - Effect: 'Allow'
                            Action: '*'
                            Resource: '*'

Используйте атрибут Policies в FunctionInvokeRole, чтобы указать свои собственные политики.

Я думаю, вам следует использовать политику.
Границы разрешений - это функция AWS IAM, которая в основном предназначена для «делегирования управления разрешениями доверенным сотрудникам» (т.е. вы хотите дать некоторым пользователям возможность создавать существующих пользователей AWS или управлять ими). [1]

В качестве администратора, который изначально настраивает систему, использование разрешений с инструкциями, содержащими действия Allow и Deny, должно быть достаточным для достижения желаемого.

Изменить:

Вы можете ограничить ресурс, которому предоставляется разрешение, например, с помощью следующей политики:

- Effect: Deny
Action:
  - "logs:CreateLogGroup"
NotResource:
  - !Sub "arn:aws:logs:${AWS::Region}:${AWS::AccountId}:log-group:*"

использованная литература

[1] https://aws.amazon.com/de/blogs/security/delegate-permission-management-to-developers-using-iam-permissions-boundaries/