如何查看哪个 lambda 执行角色用于执行 lambda 函数以及 AssumeRole 与 LambdaExecution 角色之间的差异

Question

1，如何查看“哪个角色”正在用于执行 lambda 函数？我在 Cloudwatch 中记录了事件，但没有关于 IAM 角色或 AssumeRole 的信息。

2、AssumeRole 与 lambda 执行角色有很大不同吗？现在在我的 lambda 中，我有一个带有授权者的函数。授权者将检查用户的令牌，并在回调中传递生成的策略。

所以我的理解是， 首先，我们调用“函数”，它会自动触发授权者。授权者将一个 IAM 角色传递给“函数”，然后它将执行它。所以我的问题是，这个 AssumeRole 是 lambda:Execute 角色吗？

那么 Default lambda 执行角色和这个 AssumeRole 有什么区别？

Answer 1

1. 您可以为此使用 AWS CloudTrail。见https://docs.aws.amazon.com/lambda/latest/dg/logging-using-cloudtrail.html

2. 假定角色是请求所针对的角色。角色的概念是 AWS 中最核心的概念，要执行一个操作（如 API 调用），您必须拥有一个角色。

授权方使用 AssumeRole 为客户端承担角色。 AssumeRole 生成一个实体可以访问 AWS 资源的临时 IAM 凭证。另一方面，执行角色是资源（如 AWS Lambda）所作用的角色。例如，如果您的 Lambda 从 DynamoDB 表中读取，则其执行角色必须包含权限 dynamodb:GetItem - 这不必包含在代入角色中。