使用Terraform创建Lambda函数时访问私有S3桶报NoSuchBucket错误

针对你遇到的Terraform创建Lambda时的NoSuchBucket错误，按以下步骤逐一排查：

1. 确认桶的基本信息正确性 #

• 桶名拼写检查：S3桶名全局唯一且严格区分大小写（DNS兼容桶名要求小写，自定义含大写的桶名会导致访问失败），核对Terraform配置中填写的桶名与实际桶名完全一致，无拼写、大小写或符号错误。
• 区域一致性验证：确保Lambda部署的AWS区域与S3桶所在区域完全相同。S3区域桶需要对应区域的端点访问，跨区域会触发找不到桶的错误。可通过AWS控制台查看桶的区域，再核对Terraform provider的区域配置。
• 桶存在性验证：用AWS CLI执行以下命令，确认桶确实存在且当前Terraform使用的身份能访问：

  aws s3 ls s3://<my-private-bucket>
  aws s3 cp s3://<my-private-bucket>/<your-code-zip-path> ./test.zip
  

  若命令失败，优先解决桶存在性或身份权限问题。

2. 重点排查Terraform执行身份的权限 #

这是最容易忽略的核心点：创建Lambda时拉取S3代码包的是Terraform的执行身份（本地AWS账号/CI/CD角色），而非Lambda的执行角色。你配置的Lambda访问策略和桶策略是给Lambda运行时使用的，和创建过程无关。

给Terraform使用的IAM身份添加以下权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::<my-private-bucket>",
                "arn:aws:s3:::<my-private-bucket>/*"
            ]
        }
    ]
}

3. 核对Terraform Lambda模块的配置 #

确保terraform-aws-lambda模块的参数正确指向桶和代码包：

module "lambda" {
  source = "terraform-aws-modules/lambda/aws"

  function_name = "your-function-name"
  role_arn      = aws_iam_role.lambda_exec.arn

  # 填写正确的桶名和代码包S3路径
  s3_bucket = "<my-private-bucket>"
  s3_key    = "path/to/your/code-package.zip"

  runtime = "python3.11" # 替换为你的运行时
  handler = "index.lambda_handler" # 替换为你的handler
}

重点检查s3_bucket和s3_key是否准确，路径是否多/少斜杠。

4. 排除桶策略的干扰 #

你配置的桶策略是允许Lambda服务访问桶，用于Lambda运行时读取桶内数据，和创建时的代码拉取无关。但需确认桶策略中没有Deny语句阻止Terraform执行身份的访问，同时确认桶的“阻止所有公共访问”设置未影响授权身份的访问（该设置仅阻止公共访问，不影响IAM授权的私有访问）。

内容的提问来源于stack exchange，提问作者sanakhanlibre