amazon-web-services - 标记 AWS lambda 函数访问被拒绝

Question

我正在尝试使用 aws cli 来标记 lambda 函数。但是，我不断收到访问决定错误。我什至尝试在 IAM 中授予用户管理员访问权限，但仍然不起作用。我想必须在当前覆盖策略的某处配置其他内容

root@fd9f516869e1:~# aws lambda tag-resource --resource $FUNCTION_ARN --tags CURRENT_COMMIT=${CIRCLE_SHA1}

An error occurred (AccessDeniedException) when calling the TagResource operation: User: <user ARN> is not authorized to perform: lambda:TagResource

附加到用户的策略是

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "<SID>",
            "Effect": "Allow",
            "Action": [
                "tag:*",
                "lambda:ListTags",
                "lambda:TagResource",
                "lambda:UntagResource",
                "lambda:GetFunction",
                "lambda:UpdateFunctionCode"
            ],
            "Resource": [
                "<my lambda ARN>"
            ]
        }
    ]
}

Answer 1

如 Lambda API Permissions 的文档中所述和 AWS Services That Work with IAM 与标签相关的调用( ListTags 、 TagResources 、 UntagResources )不能仅限于特定资源。

因此，必须为所有 Lambda 函数授予标记访问权限。要使其正常工作，您需要替换 <my lambda ARN>在上述政策中 * .