通过IAM角色获取关联S3存储桶失败，Lambda代码无输出求助

代码存在的核心问题 #

• 缺少必要模块导入：代码使用了json和boto3库但未导入，运行会直接抛出NameError。
• 错误的输入读取方式：Lambda的输入参数通过event传递，而非读取本地input.json文件——Lambda执行环境中默认不存在这个文件，会触发FileNotFoundError。
• 打印变量名不匹配：最后打印的bucket、user是未定义变量，实际定义的是buckets和users，变量名错误导致无输出。
• 逻辑前提局限性：通过IAM角色标签s3:accessPointArn获取桶的逻辑仅适用于特殊场景，大部分情况下IAM角色与S3桶的关联是通过权限策略实现的，而非角色标签。如果你的场景确实依赖该标签，需确保角色已正确添加对应的标签键值对。

修正后的基础代码（针对标签场景） #

import json
import boto3

def lambda_handler(event, context):
    # 从Lambda event参数中获取角色名称
    role_name = event['role_name']
    
    session = boto3.Session()
    iam_client = session.client('iam')
    response = iam_client.list_role_tags(RoleName=role_name)
    
    users = []
    buckets = []

    for tag in response['Tags']:
        if tag['Key'] == 'UserName':
            users.append(tag['Value'])
        if tag['Key'] == 's3:accessPointArn':
            bucket_arn = tag['Value']
            # 根据ARN格式拆分桶名：兼容S3访问点和普通桶ARN
            if 'accesspoint' in bucket_arn:
                bucket_name = bucket_arn.split('/')[-1]
            else:
                bucket_name = bucket_arn.split(':')[-1]
            buckets.append(bucket_name)

    # 打印正确的变量并返回结果
    print("关联的S3桶:", buckets)
    print("关联的用户:", users)
    
    return {
        'statusCode': 200,
        'body': json.dumps({
            'buckets': buckets,
            'users': users
        })
    }

补充：通过角色权限策略获取关联S3桶的通用逻辑 #

如果你的需求是找出角色有权限访问的所有S3桶，而非依赖标签，可使用以下代码：

import json
import boto3
from botocore.exceptions import ClientError

def lambda_handler(event, context):
    role_name = event['role_name']
    iam_client = boto3.client('iam')
    
    try:
        buckets = set()
        # 获取角色的托管策略
        attached_policies = iam_client.list_attached_role_policies(RoleName=role_name)['AttachedPolicies']
        for policy in attached_policies:
            policy_version = iam_client.get_policy_version(
                PolicyArn=policy['PolicyArn'],
                VersionId=policy['DefaultVersionId']
            )
            buckets.update(extract_s3_buckets_from_policy(policy_version['PolicyVersion']['Document']))
        
        # 获取角色的内联策略
        inline_policies = iam_client.list_role_policies(RoleName=role_name)['PolicyNames']
        for policy_name in inline_policies:
            policy_doc = iam_client.get_role_policy(
                RoleName=role_name,
                PolicyName=policy_name
            )['PolicyDocument']
            buckets.update(extract_s3_buckets_from_policy(policy_doc))
        
        buckets_list = list(buckets)
        print("角色有权限访问的S3桶:", buckets_list)
        
        return {
            'statusCode': 200,
            'body': json.dumps({'buckets': buckets_list})
        }
    
    except ClientError as e:
        print(f"执行错误: {e}")
        return {
            'statusCode': 500,
            'body': json.dumps({'error': str(e)})
        }

def extract_s3_buckets_from_policy(policy_doc):
    """从IAM策略文档中提取S3桶名"""
    buckets = set()
    for statement in policy_doc.get('Statement', []):
        if statement.get('Effect') != 'Allow':
            continue
        resources = statement.get('Resource', [])
        resources = resources if isinstance(resources, list) else [resources]
        for resource in resources:
            # 匹配普通桶ARN格式
            if resource.startswith('arn:aws:s3:::') and not resource.endswith('/*'):
                bucket_name = resource.split(':::')[1]
                if bucket_name != '*':
                    buckets.add(bucket_name)
            # 匹配桶内对象的ARN格式
            elif resource.startswith('arn:aws:s3:::') and resource.endswith('/*'):
                bucket_name = resource.split(':::')[1].rstrip('/*')
                buckets.add(bucket_name)
    return buckets

内容的提问来源于stack exchange，提问作者user264909