执行 AWS Lambda 与 AWS SNS 的跨账户集成时出错

Question

我想从 SNS（账户 A）向 Lambda（账户 B）发送通知。 遵循本教程但仍然出现以下错误： https://docs.aws.amazon.com/lambda/latest/dg/with-sns-example.html

错误代码：AccessDeniedException - 错误消息：用户：arn:aws:sts::AccountA:assumed-role/AdministratorAccessRole/A12345 无权执行：lambda:AddPermission on resource:arn:aws:Z945F3FC449518A73B96F5F3286:CDB:4帐户B：function：TestLambda

下面是我所做的： 1. 在账户 A 中，在 SNS 的访问策略中添加以下策略：

{
  "Version": "2008-10-17",
  "Id": "__default_policy_ID",
  "Statement": [
    {
      "Sid": "_abc_",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountB:root"
      },
      "Action": [
        "SNS:Subscribe",
        "SNS:Receive"
      ],
      "Resource": "arn:aws:sns:us-east-1:AccountA:TriggerLambdaB-SNS"
    }
  ]
}

2. 在账户 B 中，在 Lambda 的 Resource-Based Policy 中添加以下策略：

    {
  "Version": "2012-10-17",
  "Id": "default",
  "Statement": [
    {
      "Sid": "_abc_",
      "Effect": "Allow",
      "Principal": {
        "Service": "sns.amazonaws.com"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:us-east-1:AccountB:function:TestLambda",
      "Condition": {
        "ArnLike": {
          "AWS:SourceArn": "arn:aws:sns:us-east-1:AccountA:TriggerLambdaB-SNS"
        }
      }
    }
  ]
}

我可以在帐户 B 中我的 Lambda 的触发 Lambda 部分下看到 SNS 名称。但是当我尝试在 SNS 下订阅 Lambda 时，出现此错误。 请指导我在这里缺少什么。

是因为我在这些帐户中拥有不同类型的角色，例如帐户 A 中的 AdminAccessRole 和帐户 B 中的 FederatedRoleAccess？

Answer 1

您需要在Account-B （使用 Lambda 功能）而不是 Account-A（使用 SNS 功能）中运行aws sns subscribe 。

否则，您的设置似乎是正确的。

当我尝试从 Account-A 运行subscribe命令时，它说：

An error occurred (AuthorizationError) when calling the Subscribe operation: The account ACCOUNT-A is not the owner of the lambda function arn:aws:lambda:ap-southeast-2:ACCOUNT-B:function:foo

虽然此错误与您的不同，但您的命令似乎是从 Account-A（使用 SNS）而不是 Account-B（使用 Lambda）运行的。

旁注： 教程中似乎有一个小错误：将 AWS Lambda 与 Amazon Simple Notification Service文档一起使用，其中 Lambda 的基于资源的策略（您的问题中的第二个）显示了一个SourceArn ，它指的是 Account- B-Lambda，而它应该是 Account-A-SNS。 但是，您在上面的保单中似乎已经正确理解了这一点。