aws cdk LambdaRestApi:最终策略大小大于限制

Question

嗨，我一直在尝试许多可能性，但现在我需要一些帮助。

我使用aws-cdk通过代码创建架构，到目前为止一切顺利。现在我碰到这个问题：

最终策略大小大于限制（20480）

我不知道这意味着什么，但我不知道如何解决它。

我正在创建lambda函数来处理所有请求：

const router = new lambda.Function(this, apiName + '-handler-temp', {
      runtime: LambdaRuntime, // execution environment
      code: lambda.Code.fromAsset('bin/lambda'), // code loaded from "lambda" directory
      handler: 'index.handler', // file is "index", function is "handler"
      vpc: vpc,
      environment: {
        DB_HOST: props?.rdsEndpoint as string,
        DB_USER: props?.rdsDbUser as string,
        DB_PASS: props?.rdsDBPass as string,
        DB_PORT: props?.rdsPort as string,
        DB_DIALECT: props?.rdsDbSchema as string,
        DB_DATABASE: props?.rdsDBName as string,
      },
      layers: [layer],
      timeout: Duration.seconds(30),
      memorySize: 1024,
    })

LambdaRestApi是这样定义的：

const api = new LambdaRestApi(this, apiName, {
      handler: router,
      proxy: false,
      cloudWatchRole: false,
      description: 'API for Backend',
      deployOptions: {
        stageName: 'prod',
      },
      domainName: domainProperties,
    })

我在创建endpoint时使用了23次addMethod。

例如

const user = api.root.addResource('user')
user.addMethod(HttpMethod.POST)
user.addMethod(HttpMethod.GET)
user.addMethod(HttpMethod.PATCH)

因为只有一个lambda用于从apigateway调用，所以我很好奇，我如何才能控制只有一个用于lambda执行的策略，而不是每次都创建一个新策略。

我还尝试将属性role:role添加到具有以下角色定义的lambda函数中：

const role = new Role(this, apiName + 'ApiGWPermissions', {
      assumedBy: new ServicePrincipal('apigateway.amazonaws.com'),
    })

    role.addToPolicy(
      new PolicyStatement({
        resources: ['*'],
        actions: ['lambda:InvokeFunction'],
      })
    )

但是我遇到了不同的错误。

有人解开这个谜了吗？

干杯

Answer 1

我碰到了类似的问题。有一个CDK问题如果得到解决可能会有助于解决，

https://github.com/aws/aws-cdk/issues/9327

还值得注意的是，默认情况下，lambda集成将allowTestInvoke设置为true，这将使策略文档大小增加一倍。

我不确定您是否可以使用LambdaRestApi更改lambda的集成选项，但是，我直接使用RestApi。

短期修复方法可能是使用RestApi而不是LambdaRestApi，直接创建lambda集成，将allowTestInvoke选项设置为false。

我所做的另一件事是创建多个lambda，它们以相同的方式工作，但连接到不同的路由（例如，相同的代码、权限等，只是不同的逻辑id），以稍微减少策略文档的大小。

我的html" target="_blank">开发时间有点紧迫，因此需要解决问题。就我个人而言，我认为正确的解决方案是在CDK中修复它，并提出一个PR，这样LambdaRestApi就做了用户期望的事情，所有人都可以获得lambda的通配符许可

Answer 2

正如Ian Walters提到的CDK问题中所建议的，剥离生成的方法权限为我解决了这个问题。我正在使用。Net，但我希望该方法适用于所有语言实现。此函数用于删除以下权限：

public void StripMethodPermissions(ConstructNode node) {
    foreach (var child in node.Children) {
        if (child is Amazon.CDK.AWS.APIGateway.Method) {
            var method = ((Amazon.CDK.AWS.APIGateway.Method)child);
            var permissions = method.Node.Children.Where(c => c is Amazon.CDK.AWS.Lambda.CfnPermission);
            foreach (var permission in permissions) {
                child.Node.TryRemoveChild(permission.Node.Id);
            }
        }
        if (child.Node.Children.Length > 0) StripMethodPermissions(child.Node);
    }
}

我使用的技术如下：

var api = new RestApi(this, "MyRestApi", new RestApiProps {
    RestApiName = "MyRestApiV1"
});

var handlerLambda = new Function(this, "RequestHandler", new FunctionProps {
    Runtime = Runtime.DOTNET_CORE_3_1,
    ...
});

// Add resources and methods which use the handlerLambda here

// Remove all generated permissions
StripMethodPermissions(api.Root.Node);

// Add a single invoke permission for the lambda
handlerLambda.GrantInvoke(new ServicePrincipal("apigateway.amazonaws.com"));

感谢nija-at为我们指路