解析AWS用角色创建Lambda/EC2时因无IAM:PassRole权限导致的403错误

很多用户在通过IAM角色创建AWS Lambda或EC2实例时，都会碰到403权限错误，以下是这类问题的核心成因及典型场景分析：

• 创建Lambda函数时出现403错误：这类错误通常源于操作账号缺少Lambda创建相关的基础权限（如lambda:CreateFunction），或是关联的IAM角色信任策略未授权Lambda服务主体访问，导致无法完成函数创建流程。
• 配置VPC启动AWS Lambda时遇到AccessDeniedException：给Lambda配置VPC网络时，操作账号需具备VPC资源管理权限（如ec2:CreateNetworkInterface、ec2:DescribeNetworkInterfaces），同时Lambda执行角色也需要对应VPC资源的访问权限，任一权限缺失都会触发拒绝访问。
• 上传C#函数至AWS Lambda失败：核心原因是操作账号缺少iam:PassRole权限——创建Lambda时需要将指定IAM角色"传递"给Lambda服务，让服务能以该角色身份执行函数，没有此权限则无法完成角色关联。
• 无需PassRole权限创建Lambda函数的场景：若创建Lambda时不指定自定义IAM角色，而是使用Lambda提供的默认执行角色（如AWSLambdaBasicExecutionRole），或通过控制台直接创建并关联角色，部分场景下可绕过手动配置iam:PassRole的步骤，但前提是操作账号拥有创建和关联默认角色的权限。
• 为何项目需要iam:PassRole权限：当需要让Lambda等服务以指定IAM角色身份运行时，操作账号必须拥有iam:PassRole权限，这是AWS的安全机制，防止用户随意将高权限角色传递给不受信任的服务，确保只有授权账号才能将角色赋予特定服务。

内容的提问来源于stack exchange，提问作者mon