AWS Lambda添加S3触发器失败：请求排查与解决

出现Unable to validate the following destination configurations错误，核心原因是S3桶无权限触发Lambda函数或Lambda执行角色缺少必要权限，按以下步骤排查修复：

1. 检查并更新Lambda执行角色权限 #

通过IAM控制台编辑Lambda执行角色的权限策略，确保包含以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetObjectVersion",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsbkt870",
                "arn:aws:s3:::awsbkt870/*",
                "arn:aws:s3:::versions870",
                "arn:aws:s3:::versions870/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "lambda:InvokeFunction",
            "Resource": "arn:aws:lambda:<你的区域>:<你的账号ID>:function:<你的Lambda函数名>"
        }
    ]
}

同时确认角色信任策略允许S3服务调用Lambda：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com",
                    "s3.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

2. 配置S3源桶的桶策略 #

给源桶awsbkt870添加桶策略，授权它触发目标Lambda：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": "lambda:InvokeFunction",
            "Resource": "arn:aws:lambda:<你的区域>:<你的账号ID>:function:<你的Lambda函数名>",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3:::awsbkt870"
                }
            }
        }
    ]
}

3. 检查触发器配置细节 #

• 事件类型选择All object create events（覆盖新增文件和版本更新场景），或明确勾选Put/Post/Copy等对应事件
• 确认源桶与Lambda函数处于同一AWS区域（跨区域触发器需额外配置，优先用同区域避免问题）
• 检查前缀/后缀过滤规则是否存在错误，避免因规则不匹配导致事件无法触发

4. 手动添加Lambda权限（兜底方案） #

若上述步骤无效，通过AWS CLI执行命令直接授权S3调用Lambda：

aws lambda add-permission \
    --function-name <你的Lambda函数名> \
    --principal s3.amazonaws.com \
    --statement-id s3-trigger-permission \
    --action "lambda:InvokeFunction" \
    --source-arn arn:aws:s3:::awsbkt870 \
    --source-account <你的AWS账号ID>

额外代码优化提示 #

你的测试代码存在几个潜在问题，建议补充：

• list_objects仅能返回最多1000个对象，需改用list_objects_v2并通过NextContinuationToken处理分页
• list_object_versions同样存在分页限制，需处理NextVersionIdMarker
• 代码末尾的else块无逻辑，建议补充错误日志打印

内容的提问来源于stack exchange，提问作者encoded150