Serverless框架：如何让函数级环境变量被IAM角色语句引用？

你遇到的错误是因为${env:MY_ENV_VARIABLE}这个变量引用的是系统环境变量或provider.environment块中定义的变量，无法读取函数级environment里的配置。另外，provider级的IAM角色是所有Lambda函数共用的，本身也无法基于单个函数的环境变量做条件判断。

以下是两种可行的实现方案：

方案1：自定义变量统一管理 + 函数级IAM角色 #

把每个函数的环境变量值提前定义在custom配置块中，然后在函数的环境变量和专属IAM角色配置里分别引用这个自定义变量，确保两者使用同一个值，同时规避变量找不到的问题。

修改后的YAML示例：

service: myService
frameworkVersion: "3"

provider:
  name: aws
  # 移除provider级的iamRoleStatements，改为每个函数单独定义

custom:
  functionConfigs:
    my_function:
      myEnvVar: true
    another_function:
      myEnvVar: false

functions:
  my_function:
    # 其他函数配置...
    environment:
      MY_ENV_VARIABLE: ${self:custom.functionConfigs.my_function.myEnvVar}
    iamRoleStatements:
      - Fn::If:
          - MyFunctionCondition
          - Effect: "Deny"
            Action:
              - ... # 你的权限动作
            Resources:
              - ... # 你的资源ARN
          - !Ref "AWS::NoValue"

  another_function:
    # 其他函数配置...
    environment:
      MY_ENV_VARIABLE: ${self:custom.functionConfigs.another_function.myEnvVar}
    iamRoleStatements:
      - Fn::If:
          - AnotherFunctionCondition
          - Effect: "Deny"
            Action:
              - ... # 你的权限动作
            Resources:
              - ... # 你的资源ARN
          - !Ref "AWS::NoValue"

resources:
  Conditions:
    MyFunctionCondition: !Equals ["${self:custom.functionConfigs.my_function.myEnvVar}", true]
    AnotherFunctionCondition: !Equals ["${self:custom.functionConfigs.another_function.myEnvVar}", true]

方案2：CloudFormation参数传递（适合动态值场景） #

如果变量值需要在部署时动态传入（比如不同环境用不同值），可以用CloudFormation参数来管理，然后在函数环境变量和IAM条件中引用参数值：

service: myService
frameworkVersion: "3"

provider:
  name: aws

parameters:
  MyFunctionEnvVar:
    Type: String
    Default: "true"
  AnotherFunctionEnvVar:
    Type: String
    Default: "false"

functions:
  my_function:
    # 其他函数配置...
    environment:
      MY_ENV_VARIABLE: !Ref MyFunctionEnvVar
    iamRoleStatements:
      - Fn::If:
          - MyFunctionCondition
          - Effect: "Deny"
            Action:
              - ... # 你的权限动作
            Resources:
              - ... # 你的资源ARN
          - !Ref "AWS::NoValue"

resources:
  Conditions:
    MyFunctionCondition: !Equals [!Ref MyFunctionEnvVar, "true"]

核心注意点 #

• 禁止用${env:XXX}引用函数级环境变量，该语法仅支持读取系统环境变量或provider级环境变量。
• 若要让每个函数的IAM权限依赖自身环境变量，必须给每个函数单独定义iamRoleStatements，不能使用provider级的共用角色。
• 通过self:custom.xxx或CloudFormation参数统一管理变量，能保证函数环境变量和IAM条件的取值一致，避免出现逻辑冲突。

内容的提问来源于stack exchange，提问作者lucky_start_izumi