Aws lambda交叉帐户访问

Question

我有一个lambda，它使用来自另一个AWS帐户的Athena的数据。因此，我有一个角色，我的lambda假定该角色具有跨帐户访问权限。我在lambda中使用了STS客户端。有时lambda运行得非常好，有时它会出现故障，给我这个错误。

“errorMessage”：“调用StartQueryExecution操作时发生错误（ExpiredTokenException）：请求中包含的安全令牌已过期”，“errorType”：“ClientError”，

我在代码中使用的STS客户端是：

def assume_role_to_session(role_arn, session_name):
client = boto3.client('sts')
response = client.assume_role(RoleArn=role_arn, RoleSessionName=session_name, DurationSeconds=900)
return boto3.Session(
    aws_access_key_id=response['Credentials']['AccessKeyId'],
    aws_secret_access_key=response['Credentials']['SecretAccessKey'],
    aws_session_token=response['Credentials']['SessionToken'],
    region_name='us-east-1')
assume_role_athena_session = assume_role_to_session(role_arn='arn:aws:iam::XXXXXXXXXXX:role/role-name',
                                    session_name='AthenaLambdaSession')

这是怎么回事？我希望我的lambda随时都能运行，而不仅仅是有时。有什么问题吗？

Answer 1

查看此文档

RoleSessionName（字符串）--[必需]

假定角色会话的标识符。

当相同角色由不同主体或出于不同原因承担时，使用角色会话名称来唯一标识会话。在跨帐户方案中，角色会话名称是可见的，并且可以由拥有该角色的帐户记录。角色会话名称也用于假定角色主体的ARN中。这意味着使用临时安全凭据的后续跨帐户API请求将在其CloudTrail日志中向外部帐户公开角色会话名称。

因此，尝试用唯一的RoleSessionName替换AthenaLambdasession。或者，如果您想重用现有的会话，请尝试检查会话超时，以确保有足够的时间执行lambda任务（最多5分钟）。如果