IAM用户上lambda ListFunctions的AWS AccessDeniedException

Question

注意：我通过IAM用户控制台帐户执行所有AWS设置，该帐户基本上拥有AWS/Amazon帐户所有者的所有特权。我将此IAM用户称为根帐户。

发行说明:

• 从根帐户中，我创建了以下IAM-user，仅具有编程访问权限：lambda-test
• 我在我的~/. aws/*文件中添加了IAM访问密钥（作为配置文件条目）。
• 现在到lambda-test帐户，我接下来创建了一个内联/嵌入式策略，允许以下AWS-Lamdba操作：列表函数、GetFunction、更新函数代码、更新函数配置

正确验证的策略语句如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1111111111111",  # <--- Altered for this post.
            "Effect": "Allow",
            "Action": [
                "lambda:GetFunction",
                "lambda:ListFunctions",
                "lambda:UpdateFunctionCode",
                "lambda:UpdateFunctionConfiguration"
            ],
            "Resource": [
                "arn:aws:lambda:*"
            ]
        }
    ]
}

回到laptop CLI，我发出以下命令，生成AccessDeniedException：

user@linux$ aws lambda list-functions --profile lambda-test

例外情况如下：

An error occurred (AccessDeniedException) when calling the ListFunctions operation: User: arn:aws:iam::<AWS-Account-ID>:user/lambda-test is not authorized to perform: lambda:ListFunctions

我错过什么了吗？（当然有了。=：）提前谢谢！

Answer 1

这不是OP的问题，但对于其他从Google遇到这一问题的人：
确保为您正在使用的IAM用户启用了控制台登录。这可以在IAM下设置-

Answer 2

有两种类型的访问策略可以与AWS lambda一起使用：

1） 基于身份的策略（IAM策略）您正在使用的是IAM策略。如果您阅读了AWS lambda访问控制概述文档，当您使用基于IAM的访问时，AWS目前仅支持*作为资源。因为“lambda:ListFunctions”不能用完整ARN调用（请参阅本文档，其中可以用完整ARN调用，也可以用*）调用），所以需要给出*。

在当前实现中，Lambda不支持为某些API操作使用资源ARN（也称为资源级别权限）标识特定资源，因此必须指定通配符（*）。

2）基于资源的策略（Lambda函数策略）

每个Lambda函数都可以具有与之关联的基于资源的权限策略。对于Lambda，Lambda函数是主要资源，这些策略称为Lambda函数策略。可以使用Lambda函数策略授予跨帐户权限，以替代对IAM角色使用基于标识的策略。例如，您可以通过简单地向Lambda函数策略添加权限来授予Amazon S3调用Lambda函数的权限，而不是创建IAM角色。

这里有更多的例子