使用Terraform创建Lambda遇AccessDeniedException: UnknownError权限问题

你遇到的问题是拥有管理员权限的IAM用户执行terraform apply创建Lambda时返回403错误，以下是几个针对性的排查和解决方向：

1. 确认当前Terraform使用的IAM身份正确且权限生效 #

• 执行aws sts get-caller-identity命令，确认输出的用户ARN和你拥有管理员权限的用户一致，避免因环境变量、AWS凭证文件配置错误，导致实际使用了其他权限不足的用户。
• 检查管理员权限的IAM策略是否带有条件限制（比如MFA验证）：如果策略要求必须使用MFA，但你执行Terraform时未提供MFA凭证，权限会被拒绝。可以查看策略文档里的Condition字段，确认是否有这类限制，若有则需要配置MFA凭证后再执行命令。

2. 排查循环依赖导致的隐性错误 #

你的CloudWatch Log Group配置中，名称依赖了Lambda函数的名称：

resource "aws_cloudwatch_log_group" "get_snow_lambda" {
  name = "/aws/lambda/${aws_lambda_function.get_snow.function_name}"
  retention_in_days = var.log_retention
}

这会形成循环依赖（Terraform的依赖解析可能出现混乱），尝试将Log Group名称改为固定值：

resource "aws_cloudwatch_log_group" "get_snow_lambda" {
  name = "/aws/lambda/howmuchsnow_get_snow"
  retention_in_days = var.log_retention
}

再重新执行terraform apply测试。

3. 等待IAM角色生效后再创建Lambda #

IAM角色创建后，AWS内部需要几分钟时间完成权限同步，Terraform默认不会等待这个过程，可能导致创建Lambda时角色尚未就绪，返回权限错误。可以添加一个等待资源：

resource "time_sleep" "wait_for_role" {
  create_duration = "30s"

  depends_on = [aws_iam_role_policy.get_snow_lambda]
}

resource "aws_lambda_function" "get_snow" {
  # 保留原有配置
  function_name    = "howmuchsnow_get_snow"
  filename         = data.archive_file.get_snow_lambda.output_path
  handler          = "get_snow.handler"
  source_code_hash = data.archive_file.get_snow_lambda.output_base64sha256
  runtime          = "python3.10"
  role             = aws_iam_role.get_snow_lambda.arn
  
  depends_on = [time_sleep.wait_for_role]
}

添加后重新执行，给角色足够的生效时间。

4. 检查AWS账户层面的限制 #

• 服务控制策略（SCP）：如果你的AWS账户属于AWS组织，检查根组织是否配置了SCP，禁止Lambda服务的创建操作。SCP会覆盖IAM用户的权限，即使是管理员权限也会被限制。
• 服务配额：检查账户在目标区域的Lambda函数数量是否达到配额上限，部分场景下配额不足可能返回403错误，可以在AWS控制台的「服务配额」页面查看。
• 服务启用状态：确认目标区域的Lambda服务已启用（新创建的AWS账户默认启用，但极少数情况可能被禁用）。

5. 验证Terraform Provider配置 #

检查provider "aws"的区域配置var.aws_region是否和后端S3桶的区域us-east-1一致？如果区域不一致，可能导致跨区域操作的权限问题，或者资源创建在错误的区域，引发隐性权限错误。

内容的提问来源于stack exchange，提问作者mmachenry