克隆SAM生成的AWS API时Lambda触发器未复制的解决方法咨询

克隆SAM生成的AWS REST API后，路由已关联原API的Lambda函数，但测试时触发错误：

Execution failed due to configuration error: Invalid permissions on Lambda function

查看Lambda触发器列表，仅显示原API的触发器，未自动添加克隆后的新API触发器。手动添加可解决权限问题，但不符合自动化克隆的需求，需实现克隆API时自动添加Lambda触发器或快速批量配置权限。

1. 用AWS CLI批量添加Lambda权限 #

API Gateway克隆操作不会自动为Lambda生成权限策略，可通过CLI脚本批量完成：

• 第一步，获取新克隆API的ID：

  aws apigateway get-rest-apis --query "items[?name=='<新API名称>'].id" --output text
  

• 第二步，遍历新API的所有资源与集成请求，提取关联的Lambda ARN，执行权限添加命令：
  以下是示例脚本（需替换<新API ID>和<AWS区域>）：

  API_ID="<新API ID>"
  REGION="<AWS区域>"
  
  # 获取所有API资源ID
  RESOURCE_IDS=$(aws apigateway get-resources --rest-api-id $API_ID --query "items[?resourceMethods].id" --output text)
  
  for RESOURCE_ID in $RESOURCE_IDS; do
      # 获取该资源的集成Lambda ARN
      LAMBDA_ARN=$(aws apigateway get-integration --rest-api-id $API_ID --resource-id $RESOURCE_ID --http-method ANY --query "uri" --output text | cut -d ':' -f 6- | sed 's/\/invocations//')
      
      # 为Lambda添加API Gateway触发权限
      aws lambda add-permission \
          --function-name $LAMBDA_ARN \
          --statement-id "api-gateway-${API_ID}-${RESOURCE_ID}" \
          --action "lambda:InvokeFunction" \
          --principal "apigateway.amazonaws.com" \
          --source-arn "arn:aws:execute-api:${REGION}:$(aws sts get-caller-identity --query Account --output text):${API_ID}/*/*/*"
  done
  

2. 基于原SAM模板重新部署克隆API #

既然原API由SAM生成，最规范的方式是修改SAM模板创建新API栈：

• 复制原SAM模板，修改API的LogicalID和Name参数（避免资源冲突）；
• 保持Lambda函数的引用不变（若复用原Lambda），SAM会自动为新API生成对应的Lambda权限策略；
• 执行部署命令：

  sam deploy --template-file cloned-api-template.yaml --stack-name cloned-api-stack --capabilities CAPABILITY_IAM
  

3. 导出/导入API定义配合权限脚本 #

• 从原API导出OpenAPI/Swagger定义（包含集成Lambda的配置）；
• 将定义导入为新API；
• 解析导出的定义文件，提取所有Lambda集成的ARN，用批量脚本执行lambda add-permission命令（逻辑同方案1）。

内容的提问来源于stack exchange，提问作者Matt Saunders