AccessDeniedException: Der Benutzer ist nicht berechtigt, Folgendes auszuführen: lambda: InvokeFunction

Ich versuche, eine Lambda-Funktion vom Knoten aus aufzurufen.

var aws = require('aws-sdk');
var lambda = new aws.Lambda({
    accessKeyId: 'id',
    secretAccessKey: 'key',
    region: 'us-west-2'
});

lambda.invoke({
    FunctionName: 'test1',
    Payload: JSON.stringify({
        key1: 'Arjun',
        key2: 'kom',
        key3: 'ath'
    })
}, function(err, data) {
    if (err) console.log(err, err.stack);
    else     console.log(data);
});

Die Schlüssel sind für einen IAM-Benutzer. Der Benutzer hat AWSLambdaExecuteund AWSLambdaBasicExecutionRoleRichtlinien angehängt.

Ich erhalte einen Berechtigungsfehler: AccessDeniedException: User: arn:aws:iam::1221321312:user/cli is not authorized to perform: lambda:InvokeFunction on resource: arn:aws:lambda:us-west-2:1221321312:function:test1

Ich habe die Dokumente und mehrere Blogs gelesen, kann diesen Benutzer jedoch nicht zum Aufrufen der Lambda-Funktion autorisieren. Wie kann dieser Benutzer Lambda aufrufen?

Vielen Dank.

Die AWSLambdaExecuteund AWSLambdaBasicExecutionRolegeben nicht die Berechtigungen an, die im Fehler ausgedrückt werden. Diese beiden verwalteten Richtlinien können an Ihre Lambda-Funktion selbst angehängt werden, sodass sie mit diesen Richtlinien ausgeführt werden.

Der Fehler besagt, dass der Benutzer, unter dem das Programm nodejs ausgeführt wird, keine Rechte zum Starten der Lambda-Funktion hat.

Sie müssen Ihrem IAM-Benutzer die lambda:InvokeFunctionBerechtigung erteilen :

1. Suchen Sie Ihren Benutzer in der IAM-Verwaltungskonsole und klicken Sie darauf.
2. Erweitern Sie auf der Registerkarte "Berechtigungen" den Abschnitt "Inline-Richtlinien" und klicken Sie auf den Link "Hier klicken", um eine Richtlinie hinzuzufügen.
3. Wählen Sie eine "Benutzerdefinierte Richtlinie".
4. Geben Sie Ihrer Richtlinie einen Namen. Es kann alles sein.
5. Fügen Sie diese Richtlinie in das Feld Richtliniendokument ein.

Beispielrichtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1464440182000",
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeAsync",
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

In diese Richtlinie habe ich beide Methoden zum Aufrufen von Lambda-Methoden aufgenommen.

Aktualisieren:

Es gibt jetzt auch eine verwaltete IAM-Richtlinie mit dem Namen AWSLambdaRole, die Sie Ihrem IAM-Benutzer oder Ihrer IAM-Rolle zuweisen können. Dies sollte Ihnen die Berechtigungen geben, die Sie benötigen.

Ich verwende das Serverless Framework und musste es auch arn:aws:lambdaals Ressource in meiner serverless.yml hinzufügen, um es verwenden zu können lambda.invoke.

 iamRoleStatements:
    - Effect: Allow
      Action:
        - dynamodb:DescribeTable
        - dynamodb:Query
        - dynamodb:Scan
        - dynamodb:GetItem
        - dynamodb:PutItem
        - dynamodb:UpdateItem
        - dynamodb:DeleteItem
        - lambda:InvokeFunction # Added this like mentioned above
      Resource:
        - arn:aws:dynamodb:us-east-1:*:*
        - arn:aws:lambda:us-east-1:*:* # Had to add this too

Diese Lösung hat bei mir funktioniert:

1. Anbringen AWSKeyManagementServicePowerUser Richtlinie aus der Richtlinienliste (ohne dass ich einen Fehler habe auf „iam: listRole“)

2. Hinzufügen von Lambda: ListFunctions zu der von @Matt Houser definierten benutzerdefinierten Richtlinie

   {"Version": "2012-10-17", "Anweisung": [{"Sid": "Stmt1464440182000", "Effekt": "Zulassen", "Aktion": ["Lambda: InvokeAsync", "Lambda: InvokeFunction" ", " lambda: ListFunctions " ]," Resource ": [" * "]}]}

Gehen Sie zu IAM, wählen Sie den Benutzer aus und klicken Sie auf Berechtigungen hinzufügen. In der Liste der Berechtigungen können Sie einfach mit Lambda nach all diesen Richtlinien suchen und die gewünschten überprüfen, um das Lambda über die Konsole auszuführen.

Wenn Sie nur die von AWS bereitgestellten Richtlinien verwenden, müssen Sie diese dem Benutzer oder der Gruppe, zu der sie gehört, geben

Ich habe dies gelöst, indem ich AWSLambdaFullAccessdem Benutzer die Berechtigungen hinzugefügt habe .

1. Klicken Sie unter IAM-Benutzer auf Berechtigungen hinzufügen
2. Wählen Sie "Vorhandene Richtlinien direkt anhängen".
3. Suchen Sie nach AWSLambdaFullAccess, wählen Sie es aus und klicken Sie next:reviewunten auf der Seite.
4. Klicken Add Permissions

Und das sollte es tun.

Das hat bei mir funktioniert:

{
    "Sid": "PermissionToInvoke",
    "Effect": "Allow",
    "Action": [
      "lambda:InvokeFunction"
    ],
    "Resource": "arn:aws:lambda:*:*:*:*"
}