使用AWS-CDK实现跨栈Lambda和API网关权限

Question

我有两个代码库。一个定义了一个服务（服务a)，它包括一个查询dynamoDB表的AWS lambda。

另外，定义了一个需要调用多个服务lambda的聚合API网关。

API网关使用交叉堆栈引用导入服务A中定义的lambda并为其创建lambda集成：

null

    const queryTrackFunction = lambda.Function.import(this, 'TrackQueryServiceQueryTrackFunction', {
      functionArn: cdk.Fn.importValue('TrackQueryServiceStack:QueryTrackFunctionArn')
    })

    const customerApi = new api.RestApi(this, 'CustomerAPI')
    
    const tracks = customerApi.root.addResource('tracks')
    tracks.addMethod('GET', new api.LambdaIntegration(queryTrackFunction))

null

当API被调用时，它会失败，这可能是因为没有向apigateway服务授予invoke权限。

在服务A的aws-cdk项目中，我添加了以下内容：

null

queryTracksFunction.grantInvoke(new ServicePrincipal('apigateway.amazonaws.com'))

null

当我尝试部署服务时,我会遇到以下错误：

错误：无法在构造ID中使用令牌：Invoke{“service”：[“${token[token.139]}”]}

Answer 1

这是个窃听器。作为一种变通方法，在您的服务a中，您可以执行以下操作：

queryTracksFunction.addPermission('APIGateway', {
  principal: new iam.ServicePrincipal('apigateway.amazonaws.com')
});