Lambda函数未被授权执行sts： AssumeRole

Question

我在帐户a中有一个lambda函数，试图从帐户B访问资源。创建了一个新的lambda角色，该角色具有基本执行功能，可以将日志上载到cloud watch。

以下是我在Python 3.7中的函数代码：

import boto3

allProfiles = ['account2']

def lambda_handler(event, context):

    sts_connection = boto3.client('sts')
    acct_b = sts_connection.assume_role(
        RoleArn="arn:aws:iam::2222222222:role/role-on-source-account",
        RoleSessionName="account2"
    )

    for profiles in allProfiles:
        print("\nusing profile %s" % profiles)
        newMethod..
    return {
        'statusCode': 200,
        'body': json.dumps('Hello from Lambda!')
    }

还修改了账户B中假定角色的信托政策，如文件中所述：https://aws.amazon.com/premiumsupport/knowledge-center/lambda-function-assume-iam-role/

错误：调用AssumeRole操作时出错（AccessDenied）：用户：arn:aws:sts:：11111111:未授权假定角色/lambda角色/lambda函数对资源执行：sts:AssumeRole:arn:aws:iam:：2222:源帐户上的角色/role”

注意：我能够在本地成功运行此功能，但在lambda中无法。

Answer 1

好的，我们得到的是：

>

会计烧烤

你提到你的lambda有基本的执行力，光是这一点是不够的。。。

解决方案：

>

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
       ],
      "Resource": "arn:aws:s3:::AccountBBucket"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::AccountBBucket/*"
    }
  ]
}

授予访问权限：
我们现在将使用我们之前创建的角色，（UpdateBucket）角色
这需要添加到您的帐户B权限
我们现在在帐户B中：

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::999:role/UpdateBucket"
  }
}

此处的更多信息：使用IAM角色跨AWS帐户委派访问权限

Answer 2

创建了一个新的lambda角色，该角色具有基本执行权限，可以将日志上载到cloud watch

lambda的基本执行角色不够。您需要明确允许您的函数假定角色。执行角色中的以下语句应有帮助：

{
  "Effect": "Allow",
  "Action": [
    "sts:AssumeRole"
  ],
  "Resource": [
    "arn:aws:iam::2222222222:role/role-on-source-account"
  ]
}