为什么 Lambda 需要权限才能完成生命周期挂钩？

Question

来自 AWS tutorial page 关于配置生命周期挂钩：

在创建 Lambda 函数之前，您必须先创建一个 执行角色和允许 Lambda 完成的权限策略 生命周期钩子。

完成需要权限的生命周期钩子有什么风险或特殊之处？

我看不出与我们在 EC2 中配置的其他任何东西在质量上有何不同。一切都有风险，但我们不需要设置角色和权限。

Answer 1

“完成生命周期钩子”实际上是一个 API 调用，您的 lambda 应针对您的 ASG 执行该调用：

• complete_lifecycle_action - 以指定结果完成指定令牌或实例的生命周期操作。

因此，您的 lambda 执行角色必须具有权限才能执行此类操作。例如：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "autoscaling:CompleteLifecycleAction",
            "Resource": "*"
        }
    ]
}