如何配置权限让CloudFormation从S3加载Lambda层？

一、修复CloudFormation从S3下载层包的权限问题 #

1. 确认S3对象路径正确性 #

先再次核对Lambda层资源中S3Key的拼写，包括大小写、前缀（比如layers/python-packages.zip而非python-packages.zip）——S3对象键区分大小写，路径错误会直接触发NoSuchKey错误。

2. 给CloudFormation执行角色添加S3权限 #

CloudFormation创建Lambda层时需要从S3读取对象，需为其执行角色添加目标S3对象的GetObject权限。可在模板中添加如下IAM策略：

# 假设你的CloudFormation执行角色名为CloudFormationExecutionRole
LambdaLayerS3AccessPolicy:
  Type: AWS::IAM::Policy
  Properties:
    PolicyName: AllowLambdaLayerS3Get
    PolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Action: s3:GetObject
          Resource: arn:aws:s3:::你的层包存储桶名/你的层包对象键
    Roles:
      - !Ref CloudFormationExecutionRole

部署时需带上--capabilities CAPABILITY_IAM参数，允许CloudFormation创建IAM资源。

3. 检查S3桶策略 #

如果S3桶有自定义桶策略，需确保策略未阻止CloudFormation执行角色的GetObject请求，可添加如下桶策略语句：

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::你的账号ID:role/CloudFormationExecutionRole"
  },
  "Action": "s3:GetObject",
  "Resource": "arn:aws:s3:::你的层包存储桶名/你的层包对象键"
}

二、创建专用存储桶并自动上传本地层包 #

可以通过SAM模板创建专用存储桶，结合SAM命令自动上传本地修改后的层包：

1. 在模板中定义专用S3桶 #

DedicatedLayerBucket:
  Type: AWS::S3::Bucket
  Properties:
    BucketName: 你的专用层桶名
    # 开启加密和公共访问阻止，提升安全性
    BucketEncryption:
      ServerSideEncryptionConfiguration:
        - ServerSideEncryptionByDefault:
            SSEAlgorithm: AES256
    PublicAccessBlockConfiguration:
      BlockPublicAcls: true
      BlockPublicPolicy: true
      IgnorePublicAcls: true
      RestrictPublicBuckets: true

2. 用SAM自动上传本地层包 #

如果你的层包是本地目录（比如./local-layers/python-deps/，目录结构需符合Lambda层要求：python/lib/pythonX.X/site-packages/），可使用SAM的层资源定义：

MyAutoDeployedLayer:
  Type: AWS::Serverless::LayerVersion
  Properties:
    LayerName: PythonDependenciesLayer
    Description: Auto-deployed Python packages layer
    ContentUri: ./local-layers/python-deps/
    CompatibleRuntimes:
      - python3.9 # 替换为你的Lambda运行时版本
    RetentionPolicy: Retain

执行以下命令完成自动打包上传和部署：

# 将本地层包上传到专用桶
sam package --s3-bucket 你的专用层桶名 --output-template-file packaged.yaml
# 部署模板
sam deploy --template-file packaged.yaml --capabilities CAPABILITY_IAM

SAM会自动将本地层目录打包为zip，上传到你指定的专用桶，再通过CloudFormation完成Lambda层的创建。

内容的提问来源于stack exchange，提问作者Alexander Borochkin