具有IAM凭证的交叉账户AWS Lambda

Question

我有一个关于在Lambda函数中运行的跨帐户IAM问题。（我知道人们可能会使用STS，但这个软件包真的不值得保护，我不想通过链接帐户）

账户“一”。

S3 – package “s3://foo/foo”

IAM credentials “pkg_creds” for bucket "s3://foo" 

账户“B”

Lamba function “gogo” runs

In this Lambda function, it attempts to use boto3 and the pkg_creds to
download package “s3://foo/foo”, but if fails with this error:

 **The provided token is malformed or otherwise invalid.**

Lambda是只读的，但是我相信boto3不会将凭据写入~/. aws，如果我使用boto3.client（不是会话）。不过我也把AWS_CONFIG_FILE设为 /tmp以防万一。它仍然失败。我怀疑我的提议是不可能的，因为LAMBDA有不可变的AWS凭据，在那里你不能改变范围，即使是显式给boto3的范围。

让我知道你的想法。我可以尝试使用Faragate来完成这项工作，但Lambda函数更易于维护和部署。

提前谢谢！

Answer 1

故障排除后，更多。问题是我参加了在lambda函数上设置的“环境变量”会话，但不是在我的ec2实例上。所以我总是使用lambda会话密钥，它似乎超越了显式密钥和秘密。

Answer 2

用户错误。我可以验证lambda函数中的bot3是否可以在其作用域之外使用凭据。

Answer 3

Lambda没有使用~/。awsconfig文件，默认情况下使用环境变量。有很多方法可以在boto3中配置AWS凭据。您应该能够在Lambda函数中使用明确的AWS凭据创建新的boto3客户端，如下所示：

client = boto3.client(
    's3',
    aws_access_key_id=ACCOUNT_A_ACCESS_KEY,
    aws_secret_access_key=ACCOUNT_A_SECRET_KEY
)

并将ACCOUNT\u A\u ACCESS\u KEY和ACCOUNT\u SECRET\u KEY作为环境变量传递给函数。