授予Lambda访问私有S3桶

Question

我们有一个Lambda函数，需要能够访问私有的S3桶。

该存储桶已启用“阻止所有公共访问”，并具有以下资源策略：

{
    "Version": "2012-10-17",
    "Id": "Policy1620740846405",
    "Statement": [
        {
            "Sid": "Stmt1620740843181",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::'''''':role/integrations-shopifyBucketOrdersFunctionRole-*****",
                    "arn:aws:iam::'''''':root",
                    "arn:aws:iam::''''''':user/transalisS3"
                ]
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::bucket/*",
                "arn:aws:s3:::bucket"
            ]
        }
    ]
}

我还将AmazonS3FullAccess策略直接附加到Lambda使用的IAM角色。但是，当Lambda函数尝试访问S3存储桶时，会出现访问被拒绝错误：

AccessDenied: Access Denied

使用IAM用户凭据连接到S3的外部系统在尝试访问存储桶时也会收到相同的错误。

有人知道是什么导致了这个错误吗？

以下是发生错误的Lambda代码：

const AWS = require('aws-sdk');
const s3 = new AWS.S3();

exports.bucketOrders = async (event, context) => {
    let response = {};
    let eventBucket = event.Records[0].s3.bucket.name;
    let eventFile = event.Records[0].s3.object.key;

    let decodedKey = decodeURIComponent(eventFile);

    try {
        let objectData = await s3.getObject({
            Bucket: eventBucket,
            Key: decodedKey,
        }).promise();

Answer 1

创建Lambda应用程序时，有一个自动生成IAM角色的选项，该角色具有附加了无效资源的权限边界-导致所有操作失败。