部署时出现 AWS Lambda 和 IAM 错误：Lambda 无法承担为该函数定义的角色

Question

在我的 AWS 项目中，我使用无服务器框架来部署 lambda 函数和 IAM 角色。

所以我创建了 6 个 lambda 函数，都使用下面相同的 IAM 角色：

functions:

  auto-delete-identity:
    handler: src/auto-delete-identity.handler
    role: arn:aws:iam::123456789012:role/lambdaIAMRole
    name: auto-delete-identity

  auto-move-to-user-group:
    handler: src/auto-move-to-user-group.handler
    role: arn:aws:iam::123456789012:role/lambdaIAMRole
    name: auto-move-to-user-group

  auto-validate-user-creation:
    handler: src/auto-validate-user-creation.handler
    role: arn:aws:iam::123456789012:role/lambdaIAMRole
    name: auto-validate-user-creation

  auto-validation-user-email-modification:
    handler: src/auto-validation-user-email-modification.handler
    role: arn:aws:iam::123456789012:role/lambdaIAMRole
    name: auto-validation-user-email-modification

  hello-demo:
    handler: src/hello-demo.handler
    role: arn:aws:iam::123456789012:role/lambdaIAMRole
    name: hello-demo

  reset-user-password:
    handler: src/reset-user-password.handler
    role: arn:aws:iam::123456789012:role/lambdaIAMRole
    name: reset-user-password

resources:

  Resources:

    lambdaIAMRole:
      Type: "AWS::IAM::Role"
      Properties:
        RoleName: lambdaIAMRole
        AssumeRolePolicyDocument:
          Version: "2012-10-17"
          Statement:
            - Action:
                - "sts:AssumeRole"
              Effect: "Allow"
              Principal:
                Service:
                  - "lambda.amazonaws.com"
        Policies:
          - PolicyDocument:
              Version: "2012-10-17"
              Statement:
                - Action:
                    - "logs:CreateLogGroup"
                    - "logs:CreateLogStream"
                    - "logs:PutLogEvents"
                  Effect: "Allow"
                  Resource:
                    - !Sub "arn:aws:logs:eu-central-1:123456789012:log-group:/aws/lambda/*:*"
        PolicyName: "myLambdaPolicy"

当我使用无服务器部署命令进行部署时，有时会出现以下错误：

An error occurred: HelloDashdemoLambdaFunction - The role defined for the function cannot be assumed by Lambda. (Service: AWSLambdaInternal; Status Code: 400; Error Code: InvalidParameterValueException; Request ID: 4099072a-809d-4f1c-b83e-7f4f5dd5170b).

它看起来像一个随机错误，因为它不会每次都发生。此外，当它发生时，它并不总是发生在同一个函数上。

我做错什么了吗？我该如何解决？

谢谢你的帮助。

Answer 1

我认为问题在于，在您的 Lambda 函数声明中，您将 IAM 角色称为role: arn:aws:iam::123456789012:role/lambdaIAMRole. 这是一个绝对ARN，您将如何指示在 serverless.yml 模板之外创建和管理的 IAM 角色（或其他资源）。

在您的情况下，最快的解决方法是简单地替换role: arn:aws:iam::123456789012:role/lambdaIAMRole为role: lambdaIAMRole. 后者是指申报的AWS资源中的模板。

假设您的所有 Lambda 函数都具有相同的角色，一个更好的解决方法是lambdaIAMRole完全删除您的声明，然后role: arn:aws:iam::123456789012:role/lambdaIAMRole从 Lambda 函数中删除所有属性。角色声明在默认 IAM 角色之外没有添加任何内容，无服务器框架将为您隐式生成并分配给 Lambda 函数。这是使框架有价值的原因之一 - 它提供了很好的默认值来节省您的时间和精力。例子在这里。