AWS Lambda 无法访问 DynamoDB 表即使有权限

知识点掌握了，还需要不断练习才能熟练运用。下面golang学习网给大家带来一个Golang开发实战，手把手教大家学习《AWS Lambda 无法访问 DynamoDB 表即使有权限》，在实现功能的过程中也带大家重新温习相关知识点，温故而知新，回头看看说不定又有不一样的感悟！

我的整个解决方案（基础设施代码和实际的 lambda）都是开源的。

基本上，我想要一个 go lambda，在调用时会查询 dynamodb 表并获取所有项目。我知道 scan 方法在 dynamodb 上很危险（假设您有 1000 个表项目），但我知道表中只有 3 个项目，整个项目对我来说只是 aws cdk (go) 中的一个练习。

当我使用 cdk deploy --profile individual 部署基础架构时，所有内容均已部署，没有任何问题。

但是，当我尝试调用 lambda url 时，我只是得到一个 null。

当我检查 cloudwatch 日志时，我可以看到一个错误，错误消息指出我的 lambda 无权对我的 dynamodb 表执行扫描！至少这是我对错误消息的理解：

2022/09/11 15:32:30 无法扫描 dyanmodb 表！错误：操作错误 dynamodb：扫描，https 响应错误 statuscode：400，requestid：8jtbr7lij6h6uerr0nsm1u28ebvv4kqnso5aemvjf66q9asuaajg，api 错误 accessdeniedexception：用户：arn:aws:sts::777650698697:assumed-role/gotodoappstack-functionservicerole67 5bb04a-vik6cow772h2/gotodoappstack-function76856677-333lc1zqdkci 是无权执行：dynamodb:扫描资源：arn:aws:dynamodb:us-west-2:777650698697:table/gotodoappstack-tasks86073811-5dy3ubzuchi6，因为没有基于身份的策略允许 dynamodb:scan 操作

如果您仔细查看 cdk.go 文件，您会注意到我正在向 dynamodb 表授予 lambda 读写权限。

// create a dynamodb table to store the tasks
table := awsdynamodb.NewTable(stack, jsii.String("tasks"), &awsdynamodb.TableProps{
    PartitionKey: &awsdynamodb.Attribute{
        Name: jsii.String("task_id"),
        Type: awsdynamodb.AttributeType_STRING},
    BillingMode:         awsdynamodb.BillingMode_PAY_PER_REQUEST,
    TimeToLiveAttribute: jsii.String("time_to_live"),
})

// add a global secondary index based on user_id
table.AddGlobalSecondaryIndex(&awsdynamodb.GlobalSecondaryIndexProps{
    IndexName:    jsii.String("user-index"),
    PartitionKey: &awsdynamodb.Attribute{Name: jsii.String("user_id"), Type: awsdynamodb.AttributeType_STRING},
    SortKey:      &awsdynamodb.Attribute{Name: jsii.String("created_at"), Type: awsdynamodb.AttributeType_STRING},
})

// bundling options to make go fast
bundlingOptions := &awscdklambdagoalpha.BundlingOptions{
    GoBuildFlags: &[]*string{jsii.String(`-ldflags "-s -w" -tags lambda.norpc`)},
}

// creating the aws lambda
handler := awscdklambdagoalpha.NewGoFunction(stack, jsii.String("Function"), &awscdklambdagoalpha.GoFunctionProps{
    Architecture: awslambda.Architecture_ARM_64(),
    Entry:        jsii.String("../api/getitems/lambda"),
    Environment:  &map[string]*string{"DYNAMODB_TABLENAME": table.TableName()},
    Bundling:     bundlingOptions,
    MemorySize:   jsii.Number(1024),
    Timeout:      awscdk.Duration_Millis(jsii.Number(15000)),
})

// grant dynamodb read write permissions to the lambda
table.GrantReadWriteData(handler)

我很困惑。有人知道为什么我在 dynamodb 表上运行 scan 时收到该错误消息吗？

更新

这是我的 lambda 上“权限”选项卡的屏幕截图：

如果我单击与 lambda 关联的执行角色的链接，我会得到：

如您所见，它具有正确的权限！

正确答案

您提供的错误日志和 IAM 角色上的 AWS 区域不同。错误所在区域是 us-west-2，但角色权限所在区域是 eu-west-2。

您似乎在 /main/api/getitems/handler.go 第 31 行中对 lambda 处理程序上的区域进行了硬编码。

以上就是本文的全部内容了，是否有顺利帮助你解决问题？若是能给你带来学习上的帮助，请大家多多支持golang学习网！更多关于Golang的相关知识，也可关注golang学习网公众号。