如何通过Lambda别名限制AWS密码？

【以下的问题经过翻译处理】 我想要一个QA密钥和一个Production密钥，我希望Lambda QA别名只能访问QA密钥，同样Lambda Production别名也只能访问Production密钥。

每个Lambda函数别名都使用一个执行角色，在函数级别设置。因此，任何与此角色关联的IAM策略都会应用于所有别名。这意味着QA别名Lambda可以访问Production密钥。因此，基于执行角色的策略似乎不是答案。

我正在尝试理解如何将基于资源的策略应用于密钥，但似乎无法选择将Principal设置为Lambda别名的完整ARN。这样做是否可能？

除非我误用了这些系统，否则似乎无法使用Lambda别名保持密钥分离和安全。