如何为AWS CDK自动创建的Lambda IAM角色添加路径

刚好有个简洁的办法能实现你的需求——不用手动定义完整的IAM角色，直接修改CDK自动为Lambda创建的角色的路径即可，具体步骤如下：

1. 获取自动生成的Lambda角色 #

CDK创建Lambda函数时会自动生成对应的IAM角色，你可以通过Lambda函数实例的role属性获取到它。由于TypeScript类型定义里role是可选值，我们需要做一个类型断言（这里可以放心断言，因为你没有手动指定角色，CDK一定会自动创建）：

const lambdaRole = receiverFunction.role as iam.Role;

2. 为角色添加指定路径 #

使用CDK的addPropertyOverride方法，直接修改底层CloudFormation模板中角色的Path属性，把它设置为你的部署角色允许的/cloudformation/路径：

lambdaRole.addPropertyOverride('Path', '/cloudformation/');

完整修改后的代码 #

把上述步骤整合到你的原有代码中，最终代码如下：

import * as lambda from 'aws-cdk-lib/aws-lambda';
import * as sqs from 'aws-cdk-lib/aws-sqs';
import * as logs from 'aws-cdk-lib/aws-logs';
import * as iam from 'aws-cdk-lib/aws-iam';
import * as core from 'aws-cdk-lib';

// 你的栈定义类
export class YourStack extends core.Stack {
  constructor(scope: core.App, id: string, props?: core.StackProps) {
    super(scope, id, props);

    const receiverFunction = new lambda.Function(this, "Receiver", { 
      description: 'Lambda function responsible for receiving the audit message', 
      runtime: lambda.Runtime.NODEJS_10_X, 
      code: lambda.Code.fromAsset("application"), 
      handler: "receiver.handler", 
      environment: {...}, 
      timeout: core.Duration.seconds(15), 
      logRetention: logs.RetentionDays.ONE_YEAR 
    }); 

    // 获取自动生成的Lambda角色并修改路径
    const lambdaRole = receiverFunction.role as iam.Role;
    lambdaRole.addPropertyOverride('Path', '/cloudformation/');

    // 定义用于发布消息的审计队列
    const auditQueue = new sqs.Queue(this, 'audit-queue', { queueName: 'audit-queue' }); 
    auditQueue.grantSendMessages(receiverFunction);
  }
}

为什么这个方法可行？ #

CDK的addPropertyOverride方法允许你直接干预底层生成的CloudFormation资源属性，相当于在模板层面修改角色的路径配置。这样既保留了CDK自动管理角色权限的便利性（比如自动添加SQS发送权限），又满足了部署角色只能创建特定路径IAM角色的安全要求。

注意事项 #

• 确保你的部署角色拥有创建/cloudformation/路径下IAM角色的权限；
• 类型断言as iam.Role仅在你没有手动指定Lambda角色时有效，如果后续你手动指定了角色，需要调整这部分逻辑。

内容的提问来源于stack exchange，提问作者kk.