AWS合成监控Canary调用Lambda函数URL时遇403禁止错误

1. 检查Canary执行角色的权限范围 #

• 确保Canary的IAM角色拥有的lambda:InvokeFunctionUrl权限，其资源范围配置正确。若使用通配符*无需额外验证，若指定了具体函数ARN，需确认该ARN是目标Lambda函数的完整ARN（格式：arn:aws:lambda:区域:账号ID:function:函数名）。
• 无需额外添加lambda:InvokeFunction权限，函数URL调用仅依赖lambda:InvokeFunctionUrl动作，但需确认策略中Action字段拼写无误。

2. 验证Lambda函数URL的身份认证与调用方式 #

• 若函数URL采用AWS_IAM认证类型，Canary必须通过签名请求调用。需确保Canary脚本使用AWS SDK自动处理签名，而非直接发送未签名的HTTP请求。
• 示例Node.js Canary脚本（正确签名调用方式）：

const AWS = require('aws-sdk');
const lambda = new AWS.Lambda({ region: 'us-east-1' });

exports.handler = async () => {
  const params = {
    FunctionUrl: 'https://your-function-url.lambda-url.region.on.aws/',
    InvocationType: 'RequestResponse',
    Payload: JSON.stringify({ key: 'value' })
  };
  
  try {
    const response = await lambda.invokeFunctionUrl(params).promise();
    console.log('Response:', response);
    return { success: true };
  } catch (err) {
    console.error('Error:', err);
    throw err;
  }
};

3. 检查Lambda函数URL的资源策略 #

• 除Canary角色权限外，函数URL自身的资源策略可能限制了调用者。需确认策略是否允许Canary的IAM角色访问：
• 示例函数URL资源策略（允许指定Canary角色调用）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::账号ID:role/Canary执行角色名"
      },
      "Action": "lambda:InvokeFunctionUrl",
      "Resource": "arn:aws:lambda:区域:账号ID:function:函数名",
      "Condition": {}
    }
  ]
}

4. 确认Canary的网络环境 #

• 若Canary在VPC内运行：
  • 若函数URL为公网访问，需确保Canary所在VPC的子网有访问公网的权限（如配置NAT网关）；
  • 若函数URL为私有访问（仅VPC内），需确保Canary的VPC与函数URL的VPC端点在同一VPC或有对等连接，同时安全组和NACL允许双向流量。

5. 通过CloudTrail日志定位具体原因 #

• 开启CloudTrail的Lambda事件日志，查看InvokeFunctionUrl的失败事件，日志中会包含AccessDenied的详细原因，比如是角色权限不足、资源策略拒绝，还是认证方式不匹配。

内容的提问来源于stack exchange，提问作者AAhsan siddiqui