调用grantAssumeRole添加信任关系无效果，原因何在？

你误解了grantAssumeRole的作用——这个方法是用来给指定主体授予调用该角色的sts:AssumeRole权限（也就是在主体的权限策略中添加允许规则），而不是修改角色本身的信任策略。要让EventBridge Scheduler能扮演Lambda角色，你需要直接修改Lambda角色的信任策略，添加scheduler.amazonaws.com作为可信服务主体。

正确实现方式 #

方式一：创建Lambda时指定自定义角色（推荐）

提前创建包含Lambda和Scheduler双重信任主体的角色，再绑定到Lambda：

// 创建自定义IAM角色
const lambdaRole = new Role(this, 'LambdaExecutionRole', {
  assumedBy: new CompositePrincipal(
    new ServicePrincipal('lambda.amazonaws.com'), // Lambda服务本身的信任主体
    new ServicePrincipal('scheduler.amazonaws.com') // 新增EventBridge Scheduler
  ),
  // 根据你的Lambda运行需求添加托管策略，比如VPC访问、日志权限等
  managedPolicies: [
    ManagedPolicy.fromAwsManagedPolicyName('service-role/AWSLambdaVPCAccessExecutionRole')
  ]
});

// 创建Lambda时绑定自定义角色
new Function(this, 'MyLambda', {
  functionName: this.lambdaFunctionName,
  description: `Timestamp: ${new Date().toISOString()} `,
  code: // 你的代码包配置
  vpc: props.lambdaVpc,
  vpcSubnets: {
    subnetType: SubnetType.PRIVATE_ISOLATED,
  },
  environment: {
    ...commonLambdaEnvironment,
  },
  securityGroups: [props.lambdaSecurityGroup],
  handler: 'handlers.schedule_handler',
  memorySize: 512,
  timeout: Duration.seconds(60),
  runtime: getPythonDefaultRuntime(),
  tracing: Tracing.ACTIVE,
  role: lambdaRole // 绑定自定义角色
});

方式二：给已创建的Lambda角色追加信任策略

如果Lambda已经创建完成，可直接修改其角色的信任策略：

// 给Lambda角色的信任策略添加新的可信主体
this.lambdaFunction.role.assumeRolePolicy?.addStatements(
  new PolicyStatement({
    effect: Effect.ALLOW,
    principals: [new ServicePrincipal('scheduler.amazonaws.com')],
    actions: ['sts:AssumeRole']
  })
);

为什么之前的代码不生效 #

grantAssumeRole(new ServicePrincipal('scheduler.amazonaws.com'))的逻辑是：允许scheduler.amazonaws.com这个主体调用该角色的AssumeRole接口，但这需要角色的信任策略已经允许该主体才行——它本身不会修改信任策略，而是给主体加权限。这是你混淆的核心点。

内容的提问来源于stack exchange，提问作者Stupid.Fat.Cat