如何在 Cloudformation 中編寫基於資源的策略

Question

我想從外部 AWS 賬戶調用 Lambda，我設法通過在控制台的基於資源的策略選項卡（Lambda > 配置 > 權限 > 基於資源的策略）中創建策略語句來做到這一點。 雖然，我找不到在我的 CloudFormation 模板中編寫這樣的策略的方法。 這是我寫的：

InvokePolicy:
    Type: AWS::IAM::Policy
    Properties:
      PolicyName: 'InvokeLambdaFromGateway'
      Roles: 
        - !Sub "arn:aws:iam::${AWS::AccountId}:role/NameOfLambda"
      PolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Sid: InvokeLambdaExternally
            Effect: Allow
            Resource:
              - !Ref NameOfLambda
            Action:
              - lambda:InvokeFunction
            Principal:
              AWS: ["arn:aws:iam::AccountIUseToInvokeTheLambda:root"]

但我收到此錯誤： IAM Resource Policy statement shouldnt have Principal or NotPrincipal 。

如何使用 Principal 定義將該策略附加到我的 Lambda？

Answer 1

此錯誤是因為您沒有將主體添加到策略中。 您需要添加權限：

  permission:
    Type: AWS::Lambda::Permission
    Properties:
      FunctionName: !GetAtt function.Arn
      Action: lambda:InvokeFunction
      Principal: 123456789012

在文檔中閱讀更多內容。