通过 AWS CLI 使用 Lambda 时出现 AccessDeniedException

Question

我正在关注http://docs.aws.amazon.com/lambda/latest/dg/with-s3-example-upload-deployment-pkg.html上一起实现 lambda 和 S3 的教程

我添加了一个角色（IAM > Roles > lambda-s3-execution-role），它有策略AWSLambdaExecute：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:*"
      ],
      "Resource": "arn:aws:logs:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::*"
    }
  ]
}

此外，我已将IAM用户设置为adminuser，并且可以运行类似命令aws lambda list-functions --profile adminuser，但是当我运行以下命令时

aws lambda create-function \
--region us-east-2 \
--function-name CreateThumbnail \
--zip-file fileb://~/Deployment/build/distributions/lambdaDeployment.zip \
--role arn:aws:iam::12345678:role/lambda-s3-execution-role \
--handler CreateThumbnail.handler \
--runtime java8 \
--profile adminuser \
--timeout 10 \
--memory-size 1024

我收到一个错误：

调用 CreateFunction 操作时发生错误 (AccessDeniedException)： 调用 CreateFunction 操作时发生错误 (AccessDeniedException)： 用户：arn:aws:iam::12345678:user/testaccountyn 无权执行：iam:PassRole 对资源： arn:aws:iam::12345678:角色/lambda-s3-执行角色

你能给我指明前进的道路吗？谢谢！

Answer 1

为我解决了这个问题：将您的--role参数替换为您在本教程前面创建的 ARM:AWS:IAM。

我有同样的问题。如果您查看教程中的 CLI 参数，会发现 IAM ID 似乎是任意填写的；它实际上是数字 12345678。来自您的底部代码片段：）--role arn:aws:iam::12345678:role/lambda-s3-execution-role \。

为了解决这个问题，我必须将我之前在教程中创建的角色 ID 粘贴到“创建执行角色”步骤中。在 AWS 中打开 IAM 服务，单击“角色”，选择“权限”选项卡，然后复制您的角色 ARN：

arn:aws:iam:12345678..将命令中的行替换aws lambda create-function为您的凭据。最终命令应类似于：

$ aws lambda create-function --function-name CreateThumbnail \
--zip-file fileb://function.zip --handler index.handler --runtime nodejs8.10 \
--timeout 10 --memory-size 1024 \
--role REPLACE:THIS:WITH:YOUR:ROLE:ARN

应该这样做！希望它可以节省其他人一些时间！

此外，如果您在运行上述命令时遇到错误aws: command not found，则需要按照以下步骤安装 AWS 命令​​行工具：安装 AWS CLI

如果您收到You must specify a region. You can also configure your region by running "aws configure".错误，则需要按照以下步骤配置终端配置文件：配置 AWS CLI。