AWS Lambda访问Kinesis staging流权限问题：如何实现最小权限并正常调用list_streams？

问题根源 #

1. IAM策略语法错误：原策略的Action数组中多个元素缺少逗号（如"kinesis:DescribeStream"和"kinesis:GetShardIterator"后），最后一个元素多了逗号，导致策略无法正常生效。
2. ListStreams操作特性：kinesis:ListStreams是账户级全局操作，无法通过Resource字段限定到单个流ARN。当调用list_streams(ExclusiveStartStreamName="staging")时，AWS会尝试遍历账户下所有流（从指定流之后开始），包括prod流，此时IAM会检查是否有访问prod流的权限，从而触发报错。
3. API名称错误：原策略中的kinesis:GetRecord是错误的，正确的操作是kinesis:GetRecords（对应boto3的get_records()方法）。

最小权限解决方案 #

方案1：移除ListStreams权限（推荐，最严格） #

如果你的Lambda仅需操作staging流，不需要列出账户内所有流，直接移除kinesis:ListStreams权限并修正策略语法：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesis:DescribeStream",
                "kinesis:ListShards",
                "kinesis:GetShardIterator",
                "kinesis:GetRecords"
            ],
            "Resource": "arn:aws:kinesis:eu-central-1:xxx:stream/staging"
        }
    ]
}

此方案完全限制Lambda只能访问staging流，符合最小权限原则。

方案2：保留ListStreams但通过条件过滤（仅当必须调用时使用） #

如果业务逻辑必须调用ListStreams，可以添加该权限但通过IAM条件限制仅能看到staging流：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesis:DescribeStream",
                "kinesis:ListShards",
                "kinesis:GetShardIterator",
                "kinesis:GetRecords"
            ],
            "Resource": "arn:aws:kinesis:eu-central-1:xxx:stream/staging"
        },
        {
            "Effect": "Allow",
            "Action": "kinesis:ListStreams",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kinesis:StreamName": "staging"
                }
            }
        }
    ]
}

该策略允许调用ListStreams，但仅会返回staging流的信息，不会尝试访问prod流，避免权限错误。

内容的提问来源于stack exchange，提问作者doublethink13