amazon-web-services - AWS Lambda 函数无法访问 AppSync GraphQL API - 权限被拒绝

Question

我无法通过 AWS Lambda 函数调用 AppSync GraphQL 查询。我一直在用这篇文章的代码，特别是后面使用IAM权限的部分:https://docs.amplify.aws/lib/graphqlapi/graphql-from-nodejs/q/platform/js#signing-a-request-from-lambda

const https = require("https");
const AWS = require("aws-sdk");
const urlParse = require("url").URL;
const appsyncUrl = process.env.API_MYAPP_GRAPHQLAPIENDPOINTOUTPUT;
const region = process.env.REGION;
const endpoint = new urlParse(appsyncUrl).hostname.toString();
const graphqlQuery = require("./query.js").query;

exports.handler = async (event) => {
  const req = new AWS.HttpRequest(appsyncUrl, region);

  req.method = "POST";
  req.path = "/graphql";
  req.headers.host = endpoint;
  req.headers["Content-Type"] = "application/json";
  req.body = JSON.stringify({
    query: graphqlQuery,
    operationName: "list",
  });

  const signer = new AWS.Signers.V4(req, "appsync", true);
  signer.addAuthorization(AWS.config.credentials, AWS.util.date.getDate());

  const data = await new Promise((resolve, reject) => {
    const httpRequest = https.request({ ...req, host: endpoint }, (result) => {
      result.on("data", (data) => {
        resolve(JSON.parse(data.toString()));
      });
    });

    httpRequest.write(req.body);
    httpRequest.end();
  });

  return {
    statusCode: 200,
    body: data,
  };
};

我正在使用 Amplify CLI。我使用 CLI 创建函数并确保它可以访问 GraphQL API。
我在 Lambda 中得到的具体错误是:

      {
  "statusCode": 200,
  "body": {
    "errors": [
      {
        "errorType": "UnauthorizedException",
        "message": "Permission denied"
      }
    ]
  }
}

GraphQL 设置为使用 Cognito 用户池作为身份验证，我通过 Amplify CLI 添加了 IAM 作为辅助身份验证机制。 AWS GraphQL 控制台显示我将 Cognito 作为主要身份验证机制，将 IAM 作为辅助机制。
Lambda 函数似乎已获得许可，因为它显示了与 API 相对应的 4 个资源(创建、更新、删除、读取)，并且允许:appsync:GraphQL 作为操作。
如果我使用 amplify mock function myfunction 在本地运行该函数然后它执行正常并且正确返回 GraphQL 查询的结果。
当我选择 IAM 作为身份验证机制时，我还可以通过 AppSync UI 成功运行相同的查询。
我正在访问的表在我的 schema.graphql 中定义为:

 type Business
  @model
  @auth(
    rules: [
      { allow: owner }
      { allow: groups, groups: ["Admin"] }
      { allow: private, provider: iam }
    ]
  ) {
  id: ID!
  owner: String!
  name: String!
  emailSuffix: String!
  shortCode: String!
}

我已经从模型中删除了 Auth，这没有什么区别。
我已经删除了该函数并重新创建了它，以防权限以某种方式搞砸了。
所以我不认为这是代码，似乎是权限错误。我不知道问题出在哪里
更新
我已经修改了 IAM 管理器内部的权限策略，用于放大 lambda 执行策略，这似乎已经解决了这个问题。
Amplify 最初添加的权限策略的形式如下:

arn:aws:appsync:MYREGION:MYID:apis/MYAPIID/types/create/*
arn:aws:appsync:MYREGION:MYID:apis/MYAPIID/types/read/*
arn:aws:appsync:MYREGION:MYID:apis/MYAPIID/types/edit/*
arn:aws:appsync:MYREGION:MYID:apis/MYAPIID/types/delete/*

将此修改为:

arn:aws:appsync:MYREGION:MYID:apis/MYAPIID/types/*/fields/* 
arn:aws:appsync:MYREGION:MYID:apis/MYAPIID

允许 lambda 函数在我的表上执行并成功执行 GraphQL 查询。所以看起来是 Amplify 添加到函数的权限有问题。手动覆盖这些不是一个很好的解决方案。

Answer 1

安装后问题开始 - 放大 cli“4.45.2”。
lambda cloudformation 模板中自动生成权限的旧代码如下所示。

            {
          "Effect": "Allow",
          "Action": [
            "appsync:Create*",
            "appsync:StartSchemaCreation",
            "appsync:GraphQL",
            "appsync:Get*",
            "appsync:List*",
            "appsync:Update*",
            "appsync:Delete*"
          ],
          "Resource": [
            {
              "Fn::Join": [
                "",
                [
                  "arn:aws:appsync:",
                  {
                    "Ref": "AWS::Region"
                  },
                  ":",
                  {
                    "Ref": "AWS::AccountId"
                  },
                  ":apis/",
                  {
                    "Ref": "myApiGraphQLAPIIdOutput"
                  },
                  "/*"
                ]
              ]
            }
          ]
        }

但是在我移动到放大 cli“4.45.2”并为 appsync 授予 lambda 权限之后。
它产生了:

    {
          "Effect": "Allow",
          "Action": [
            "appsync:GraphQL"
          ],
          "Resource": [
            {
              "Fn::Join": [
                "",
                [
                  "arn:aws:appsync:",
                  {
                    "Ref": "AWS::Region"
                  },
                  ":",
                  {
                    "Ref": "AWS::AccountId"
                  },
                  ":apis/",
                  {
                    "Ref": "myApiGraphQLAPIIdOutput"
                  },
                  "/types/create/*"
                ]
              ]
            },
            {
              "Fn::Join": [
                "",
                [
                  "arn:aws:appsync:",
                  {
                    "Ref": "AWS::Region"
                  },
                  ":",
                  {
                    "Ref": "AWS::AccountId"
                  },
                  ":apis/",
                  {
                    "Ref": "myApiGraphQLAPIIdOutput"
                  },
                  "/types/read/*"
                ]
              ]
            },
            {
              "Fn::Join": [
                "",
                [
                  "arn:aws:appsync:",
                  {
                    "Ref": "AWS::Region"
                  },
                  ":",
                  {
                    "Ref": "AWS::AccountId"
                  },
                  ":apis/",
                  {
                    "Ref": "myApiGraphQLAPIIdOutput"
                  },
                  "/types/update/*"
                ]
              ]
            }
          ]
        }


enter code here

尝试从 lambda 访问 appsync 时出现错误“权限被拒绝”。
我认为新的 cli 在为 lambda 生成 appsync 权限时有一些错误。
我手动移回 lambda cloudformation 文件中旧生成的代码，它工作正常。