AWS Lambda、Terraform - 将角色添加到引用尚未创建的 Lambda 的 Lambda

Question

解决方案：诀窍是创建另一个角色，该角色不附加到 lambda 角色，而是通过 STS 承担。

TL;DR 如何创建一个 Lambda 函数可以承担的角色，该角色引用 lambda，在创建 lambda 之前

大家好，

我将 Terraform v1.0.5 与 AWS 一起使用。我有一个 lambda，其中包含以下代码：

assumed_role = sts_client.assume_role(
        ...
        RoleSessionName="tms_rules_settings_lambda",
        ...
    )

为此，我必须给我的 lambda 一个策略，让它可以承担这样的角色。因此，我有以下 Terraform。

locals {
  tms_rules_settings_lambda_role_name = "tms_rules_settings_lambda_role"
  tms_rules_settings_lambda_func_name = "tms_rules_settings_lambda"
}
...
** The Lambda Setup**
resource "aws_lambda_function" "tms_rules_settings_lambda" {
  ...
  function_name = local.tms_rules_settings_lambda_func_name
  role = aws_iam_role.tms_rules_settings_lambda_role.arn
  ...
}
...
** The Lambda Role Setup**
resource "aws_iam_role" "tms_rules_settings_lambda_role" {

  assume_role_policy = <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Principal": {
        "AWS": "arn:aws:sts::${data.aws_caller_identity.current.account_id}:assumed-role/${local.tms_rules_settings_lambda_role_name}/${local.tms_rules_settings_lambda_func_name}",
        "Service": "lambda.amazonaws.com"
      },
      "Effect": "Allow",
      "Sid": ""
    }
  ]
}
EOF

}

这会导致以下错误：

Error: Error creating IAM Role tms_rules_settings_lambda_role: 

MalformedPolicyDocument: Invalid principal in policy: 

"AWS":"arn:aws:sts::267601234567:assumed-role/tms_rules_settings_lambda_role/tms_rules_settings_lambda"

我相信这是因为 lambda 和角色相互引用，而当一个不存在时它会爆炸。

当主体（lambda）不存在时，我如何为 lambda 创建角色。

非常感谢任何帮助。

Answer 1

很遗憾，您不能这样做。有效的原则必须存在，然后您才能在任何 IAM 策略或角色中使用它。因此，您要么必须在原理 arn 中使用通配符，要么首先创建函数，然后在 lambda 存在后更新其角色或权限。

Answer 2

当您在策略声明中使用角色作为委托人时，您使用的是角色 ARN，而不是 STS 为您提供的假定角色委托人。您使用了后者，这就是您收到错误的原因。

但是...在我看来，您正在尝试将角色添加到它自己的假设角色策略。为什么要这么做？角色不需要自己承担。