AWS Lambda-拒绝访问错误-GetObject

Question

我是AWS Lambda的新手。我正在尝试从https://docs.aws.amazon.com/lambda/latest/dg/with-s3-example.html.当用户将jpg上传到名为greetingsproject的S3 bucket时，会触发lambda函数。

错误：9a62ff86-3e24-491d-852e-DED2C2CF5D94
信息：获取对象时出错=拒绝访问：拒绝访问

我在以下代码段中遇到拒绝访问错误：

try {
        console.log("srcBucket=" + srcBucket);
        console.log("srcKey=" + srcKey);
        const params = {
            Bucket: srcBucket,
            Key: srcKey
        };
        var origimage = await s3.getObject(params).promise();

    } catch (error) {
        console.log("error while getting object = " + error);
        return;
    }  

我的角色政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::greetingsproject"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::greetingsproject",
                "arn:aws:s3:::greetingsproject/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::greetingsproject",
                "arn:aws:s3:::greetingsproject/*"
            ]
        }
    ]
}

不确定需要向策略添加哪些其他权限。

Answer 1

Marcin关于Lambda执行角色的评论让我走上了正确的道路。我之前遵循了以下步骤：

1. 创建了一个名为greetingsProject策略的策略（具有上述权限）
2. 将此策略附加到greetingsProjectRole。
3. 将greetingsProjectRole分配给我的lambda函数。
4. 我假设就是这样，策略应该对我的lambda函数可用。
5. 然而，当我将greetingsProjectRole分配给该函数时，AWS内部创建了一个名为greetingsProject-act-zhcbt61o的执行角色。
6. 当我点击这个角色时，我惊讶地发现它唯一的角色是AWSLambdaBasicExecttionRole，而问候项目策略不见了。
7. 我必须添加greetingsProjectPolicsProjectPolicsProjectPolicsProjectPolic-zhcbt61o作为内联策略。现在我不再得到访问拒绝错误。

不确定，如果AWS是这样工作的，或者我遗漏了什么。