查找谁调用了 AWS Lambda function

Question

我有 Lambda function 写在 Python 3.7 中。

此 Lambda function 由一些用户通过 AWS CLI 使用：

  aws lambda invoke --function-name stXXX-XXX out --log-type Tail

我想在我的代码中通过 AWS CLI 捕获谁调用了我的 Lambda function。

有什么方法可以找到在 python boto3 代码中调用我的 Lambda function 的人吗？

Answer 1

是的。 通常，您必须在 CloudTrail 中启用日志记录数据事件：

• 使用 AWS CloudTrail 记录 AWS Lambda API 调用

默认情况下，lambda 调用的日志记录被禁用，因为它会导致大量日志。

日志事件包含有关调用 function 的 IAM 用户或角色的信息。 例如：

      "userIdentity": {
        "type": "IAMUser",
        "principalId": "A1B2C3D4E5F6G7EXAMPLE",
        "arn": "arn:aws:iam::999999999999:user/myUserName",
        "accountId": "999999999999",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "myUserName"
      },

Answer 2

看来你的情况是：

• 您有一个启动 Amazon EC2 实例的 AWS Lambda function
• 您希望 Lambda function 检测谁发出了请求，然后在启动 Amazon EC2 实例之前确认他们在授权列表中

不幸的是，有关“谁”调用了 Lambda function（或更具体地说，是哪个 IAM 实体调用它）的信息不可用。

The AWS Lambda context object in Python does not provide this information to the Lambda function.

“更正确”的方法是控制确定谁可以调用此 Lambda function 的 IAM 权限。 只有正确授权的人员才有权调用lambda:Invoke on this function。 同样，限制谁可以在此 function 使用的 IAM 角色上使用iam:PassRole也很重要，因为它有权启动 EC2 实例，并且它可以用于其他功能，除非PassRole受到限制。