允许 Lambda 的 S3 策略

Question

我在使用 AWS 策略生成器创建的 S3 存储桶上具有以下策略，以允许以特定角色运行的 lambda 访问存储桶中的文件。但是，当我执行 Lambda 时，我得到 403 权限被拒绝：

"errorMessage": "Access Denied (Service: Amazon S3; Status Code: 403; Error Code: AccessDenied; Request ID: <requestId>)",
  "errorType": "com.amazonaws.services.s3.model.AmazonS3Exception",

关于 S3 存储桶的政策：

{
"Version": "2012-10-17",
"Id": "Policy<number>",
"Statement": [
    {
        "Sid": "Stmt<number>",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::<account>:role/<roleName>"
        },
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::<bucketName>/*"
    }
]
}

政策有什么问题？ Lamba 正在使用策略中配置的角色运行。

Answer 1

分配给 AWS Lambda 函数的角色应使用 AWS Lambda 角色创建（在 IAM 控制台中创建角色时选择该角色）。

角色没有委托人，因为权限分配给使用该角色的任何服务（在本例中为 Lambda 函数）。

此外，您应该为存储桶本身（例如，列出内容）和存储桶的内容（例如，GetObject）分配权限。

应该是这样的：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3Access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123XXX:role/service-role/LAMBDA_ROLE_NAME"
            },
            "Action": [
                "s3:*"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket",
                "arn:aws:s3:::my-bucket/*"
            ]
        }
    ]
}

Answer 2

在循环 for I 后，我可以让它工作，过程是：

1. 创建 s3 存储桶。
2. 创建 IAM 策略（需要存储桶名称）
3. 创建 IAM 角色（需要 IAM 策略）
4. 创建 lambda 函数（需要 IAM 角色）
5. 创建 s3 存储桶策略（需要 lambda 函数名称）

IAM 政策：

 {
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "Stmt*******",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:PutObjectAcl",
            "s3:PutObjectTagging",
            "s3:PutObjectVersionAcl",
            "s3:PutObjectVersionTagging"
        ],
        "Resource": [
            "arn:aws:s3:::<bucket-name>"
        ]
    }
]
}

我在 s3 存储桶上使用此策略

{
"Id": "Policy************",
"Version": "2012-10-17",
"Statement": [
{
  "Sid": "Stmt********",
  "Action": [
    "s3:PutObject",
    "s3:PutObjectAcl",
    "s3:PutObjectTagging",
    "s3:PutObjectVersionAcl",
    "s3:PutObjectVersionTagging"
  ],
  "Effect": "Allow",
  "Resource": "arn:aws:s3:::<bucket-name>/*",
  "Principal": {
    "AWS": [
      "arn:aws:iam::*********:role/<lambda-function-name>"
          ]
          }
        }
     ]
}