在Cloudformation中将lambda目标角色添加到AWS Eventbridge规则失败

Question

我正在尝试创建一个以Lambda函数为目标的AWS Eventbridge规则。我可以添加规则和目标，但当我尝试通过RoleArn设置lambda权限时，Cloudformation堆栈部署失败，目标arn不支持RoleArn:aws:lambda:us-east-1:1234567890：功能：联系lambda消费新客户。（服务：AmazonCloudWatchEvents；状态代码：400；错误代码：ValidationException；请求ID：xxxxx-ec5d-45e8-b45d-xxxxxx；代理：null）

以下是我的Cloudformation堆栈代码：

  EventRuleNewCustomer: 
    Type: AWS::Events::Rule
    Properties: 
      Name: new-customer
      EventBusName: myEventBus
      # RoleArn: !Join ["", ["arn:aws:iam::",!Ref "AWS::AccountId", ":role/my-role"] ] #no error but doesn't add the permissions
      Description: "New customer event rule"
      EventPattern: 
        detail-type: 
          - "NewCustomer"
      State: "ENABLED"
      Targets: 
        - 
          Arn: !Join ["", ["arn:aws:lambda:" ,!Ref "AWS::Region", ":", !Ref "AWS::AccountId", ":function:contacts-lambda-consume-new-customer"] ]
          Id: "NewCustomer"
          RoleArn: !Join ["", ["arn:aws:iam::",!Ref "AWS::AccountId", ":role/my-role"] ]

我尝试在规则本身上设置一个RoleArn，它在创建堆栈时不会出现错误，但也不会添加执行Lambda所需的权限。

我使用的解决方法是在AWS Eventbridge控制台中编辑lambda目标。这似乎在幕后发挥了一些魔力，为Eventbridge添加了正确的权限，以便能够执行lambda

非常感谢您的任何想法。

Answer 1

这似乎在幕后发挥了一些魔力，为Eventbridge添加了正确的权限，以便能够执行lambda

对于lambda，使用lambda的基于资源的策略设置权限。

因此，您应该在CloudFormation中使用AWS：：Lambda：：权限来允许EventBridge调用您的函数，而不是使用RoleArn。

因此，您的权限如下所示（只是一个示例）：

EventBridgeLambdaPermission:
  Type: AWS::Lambda::Permission
  Properties:
    FunctionName: !GetAtt function.Arn
    Action: lambda:InvokeFunction
    Principal: events.amazonaws.com
    SourceArn: !GetAtt EventRuleNewCustomer.Arn