AWS Java SDK：创建Lambda及执行角色时角色无法被Lambda扮演

核心原因分析 #

报错The role defined for the function cannot be assumed by Lambda的本质是：Lambda服务无法通过IAM角色的信任策略获取扮演该角色的权限，这通常不是单纯的生效延迟问题，而是角色创建时未正确配置信任策略，或者后续附加策略的时机逻辑错误。

关键修复步骤 #

1. 创建Lambda执行角色时必须嵌入信任策略 #

创建IAM角色的第一步就要指定信任关系，允许Lambda服务扮演该角色，而非先创建空角色再补策略。Java SDK代码示例：

// 定义Lambda专属信任策略
String trustPolicy = """
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}""";

// 构造创建角色请求
CreateRoleRequest createRoleRequest = CreateRoleRequest.builder()
    .roleName("LambdaExecutionRole")
    .assumeRolePolicyDocument(trustPolicy)
    .build();

// 执行角色创建
iamClient.createRole(createRoleRequest);

2. 正确检测角色就绪状态（无需依赖内置等待器） #

IAM角色的信任策略创建后几乎实时生效，若需验证角色是否可被Lambda调用，可通过以下两种SDK原生方式实现：

• 模拟Lambda扮演角色（STS调用）：

StsClient stsClient = StsClient.create();

AssumeRoleRequest assumeRoleRequest = AssumeRoleRequest.builder()
    .roleArn("arn:aws:iam::你的账号ID:role/LambdaExecutionRole")
    .roleSessionName("LambdaValidationSession")
    .build();

try {
    stsClient.assumeRole(assumeRoleRequest);
    // 无异常则角色可正常被Lambda使用
} catch (StsException e) {
    // 捕获异常后重试，直到成功或触发超时逻辑
}

• 轮询验证信任策略配置：
  通过GetRoleRequest获取角色详情，检查返回的assumeRolePolicyDocument是否包含Lambda的信任条目，确认策略已正确应用。

3. 调整资源创建顺序 #

确保角色验证通过后，再创建Lambda函数，避免因策略未生效导致的报错。正确执行流程：

• 上传Lambda代码包到S3
• 创建带信任策略的Lambda执行角色
• 验证角色可被Lambda扮演
• 创建Lambda函数
• 为角色附加业务所需权限策略（如S3访问、CloudWatch日志权限等）

4. 常见错误排查点 #

• 检查角色ARN是否正确，避免账号ID或角色名拼写错误
• 确认信任策略中的Principal是lambda.amazonaws.com，而非其他服务
• 不要遗漏sts:AssumeRole动作，这是Lambda扮演角色的核心权限

内容的提问来源于stack exchange，提问作者Rova