AccessDeniedException:用户无权执行:lambda:InvokeFunction

Question

我正在尝试从节点调用lambda函数.

var aws = require('aws-sdk');
var lambda = new aws.Lambda({
    accessKeyId: 'id',
    secretAccessKey: 'key',
    region: 'us-west-2'
});

lambda.invoke({
    FunctionName: 'test1',
    Payload: JSON.stringify({
        key1: 'Arjun',
        key2: 'kom',
        key3: 'ath'
    })
}, function(err, data) {
    if (err) console.log(err, err.stack);
    else     console.log(data);
});

密钥用于IAM用户.用户必须AWSLambdaExecute和AWSLambdaBasicExecutionRole附加政策.

我收到了一个权限错误: AccessDeniedException: User: arn:aws:iam::1221321312:user/cli is not authorized to perform: lambda:InvokeFunction on resource: arn:aws:lambda:us-west-2:1221321312:function:test1

我阅读了文档和几个博客,但我无法授权此用户调用lambda函数.如何让这个用户调用lambda？

谢谢.

Answer 1

该AWSLambdaExecute和AWSLambdaBasicExecutionRole不提供在错误中表达的权限.这两个托管策略都旨在附加到您的Lambda函数本身,因此它与这些策略一起运行.

该错误表示运行nodejs程序的用户无权启动Lambda函数.

您需要向IAM用户lambda:InvokeFunction授予权限:

1. 在IAM管理控制台中找到您的用户并单击它.
2. 在"权限"选项卡上,展开"内联策略"部分,然后单击"单击此处"链接以添加策略".
3. 选择"自定义策略".
4. 为您的政策命名.它可以是任何东西.
5. 将此策略放在"策略文档"字段中.

样本政策:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1464440182000",
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeAsync",
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

在这个策略中,我已经包含了两种方法来调用lambda方法.

更新:

现在还有一个名为IAM托管策略AWSLambdaRole,可以分配给您的IAM用户或IAM角色.这应该为您提供所需的权限.

Answer 2

我正在使用Serverless框架，并且还必须arn:aws:lambda在serverless.yml中添加作为资源才能使用lambda.invoke。

 iamRoleStatements:
    - Effect: Allow
      Action:
        - dynamodb:DescribeTable
        - dynamodb:Query
        - dynamodb:Scan
        - dynamodb:GetItem
        - dynamodb:PutItem
        - dynamodb:UpdateItem
        - dynamodb:DeleteItem
        - lambda:InvokeFunction # Added this like mentioned above
      Resource:
        - arn:aws:dynamodb:us-east-1:*:*
        - arn:aws:lambda:us-east-1:*:* # Had to add this too

Answer 3

此解决方案为我工作：

1. 从策略列表中附加AWSKeyManagementServicePowerUser策略（没有出现关于“ iam：listRole”的错误）

2. 将lambda：ListFunctions添加到@Matt Houser定义的自定义策略

   {“版本”：“ 2012-10-17”，“声明”：[{“ Sid”：“ Stmt1464440182000”，“ Effect”：“允许”，“ Action”：[“ lambda：InvokeAsync”，“ lambda：InvokeFunction “， ” lambda：ListFunctions“ ]，”资源“：[” *“]}]}

Answer 4

转到 IAM ，选择用户并单击添加权限。在权限列表中，您可以简单地使用 lambda 搜索所有这些策略，并检查您想要的策略，以便从控制台执行 lambda。