咨询：是否可通过程序化方式部署由CloudFront viewer-request事件触发的Lambda@Edge？

当然可以成功实现！我之前也踩过和你一模一样的坑——手动在控制台操作（尤其是点了「Confirm deploy to Lambda@Edge」那一步）能正常跑，但用Serverless、Terraform程序化部署就报503。核心问题不是没有API支持，而是几个容易被忽略的关键细节没做到位：

1. 必须使用已发布的Lambda版本，不能用$LATEST #

AWS控制台操作时会自动帮你发布一个Lambda版本，并把这个版本复制到边缘区域；但程序化部署时，你得手动完成这一步：

• 先部署Lambda函数，然后发布一个正式版本（比如用Terraform的aws_lambda_function_version资源，或者Serverless的versionFunctions: true配置）
• 关联CloudFront的viewer-request事件时，必须用这个版本的ARN，而不是函数本身的ARN（$LATEST版本不支持viewer-request这类边缘触发事件）

2. Lambda函数必须部署在us-east-1区域 #

CloudFront的配置操作（包括关联Lambda@Edge）只能在us-east-1（弗吉尼亚北部）区域进行，哪怕你的CloudFront分发是面向全球的。如果你的Lambda部署在其他区域，程序化关联肯定会失败。

3. 权限配置要精准 #

你现有的IAM角色配置已经覆盖了部分要点，但还要补充两个关键项：

• 给Lambda添加调用权限，允许CloudFront服务调用它的发布版本：
  比如用Terraform的aws_lambda_permission资源，指定principal = "cloudfront.amazonaws.com"，同时qualifier要填Lambda的版本号，而不是留空
• 确保部署账号拥有iam:CreateServiceLinkedRole权限：当你首次关联Lambda@Edge时，AWS会自动创建AWSServiceRoleForCloudFrontLogger这类服务链接角色，如果账号没有这个权限，会导致关联失败

4. 等待CloudFront分发完成部署 #

程序化部署后，CloudFront需要5-10分钟才能把配置同步到全球边缘节点。如果刚部署完就测试，大概率会碰到503，一定要等分发状态变成「Deployed」再验证。

给你一个Terraform的极简可运行片段参考 #

# 1. IAM角色配置
data "aws_iam_policy_document" "lambda_assume_role" {
  statement {
    effect = "Allow"
    principals {
      type        = "Service"
      identifiers = ["lambda.amazonaws.com", "edgelambda.amazonaws.com"]
    }
    actions = ["sts:AssumeRole"]
  }
}

resource "aws_iam_role" "lambda_edge_role" {
  name               = "CloudFront-Viewer-Request-Role"
  assume_role_policy = data.aws_iam_policy_document.lambda_assume_role.json

  inline_policy {
    name = "EdgeLambdaPermissions"
    policy = jsonencode({
      Version = "2012-10-17"
      Statement = [
        {
          Action   = ["logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents"]
          Effect   = "Allow"
          Resource = "arn:aws:logs:*:*:*"
        }
      ]
    })
  }
}

# 2. Lambda函数及发布版本
resource "aws_lambda_function" "viewer_validator" {
  filename      = "lambda.zip"
  function_name = "CloudFront-Viewer-Validator"
  role          = aws_iam_role.lambda_edge_role.arn
  handler       = "index.handler"
  runtime       = "nodejs18.x"
  region        = "us-east-1" # 必须是us-east-1
}

resource "aws_lambda_function_version" "viewer_validator_v1" {
  function_name = aws_lambda_function.viewer_validator.function_name
  depends_on    = [aws_lambda_function.viewer_validator]
}

# 3. 允许CloudFront调用Lambda版本
resource "aws_lambda_permission" "cloudfront_invoke" {
  statement_id  = "AllowCloudFrontInvokeViewerRequest"
  action        = "lambda:InvokeFunction"
  function_name = aws_lambda_function.viewer_validator.function_name
  principal     = "cloudfront.amazonaws.com"
  source_arn    = "arn:aws:cloudfront::${data.aws_caller_identity.current.account_id}:distribution/${aws_cloudfront_distribution.cdn.id}"
  qualifier     = aws_lambda_function_version.viewer_validator_v1.version # 指定版本号
}

# 4. CloudFront分发关联Lambda@Edge
data "aws_caller_identity" "current" {}

resource "aws_cloudfront_distribution" "cdn" {
  # 省略其他分发配置（比如origin、default_root_object等）
  
  default_cache_behavior {
    # 省略其他行为配置（比如target_origin_id、viewer_protocol_policy等）
    
    lambda_function_association {
      event_type   = "viewer-request"
      lambda_arn   = aws_lambda_function_version.viewer_validator_v1.arn
      include_body = false
    }
  }
}

排查503的小技巧 #

如果还是碰到错误，去CloudWatch找边缘节点的日志（不是us-east-1的日志，要去请求对应的边缘区域找），里面会有具体的错误原因——比如「Lambda version not found」或者「Permission denied」，能帮你快速定位问题。

我就是因为一开始忽略了「必须用发布版本」这个点，折腾了好几个小时，后来调整后就顺利跑通了。按照上面的步骤来，应该能解决你的问题！

备注：内容来源于stack exchange，提问作者nbl7