如何在Terraform代码中配置SNS Topic ARN作为Lambda触发器？

你当前使用的aws_lambda_invocation是主动触发Lambda执行的资源，并非基于SNS事件的触发器。要实现SNS Topic创建完成后自动触发Lambda（包括事件触发和部署阶段触发），需要结合以下Terraform资源：

完整配置示例 #

假设你已经定义了SNS Topic和Lambda Function资源，以下是补充的触发器配置：

1. 定义基础资源（如果未定义） #

# SNS Topic资源
resource "aws_sns_topic" "example" {
  name = "your-topic-name"
}

# Lambda Function资源（示例）
resource "aws_lambda_function" "lambda_function_test" {
  filename      = "lambda_function_payload.zip"
  function_name = "lambda-function-test"
  role          = aws_iam_role.lambda_role.arn
  handler       = "index.handler"
  runtime       = "python3.12"

  # 你的其他Lambda配置...
}

2. 配置Lambda权限（允许SNS调用） #

必须先授予SNS服务调用Lambda的权限，否则会出现权限错误：

resource "aws_lambda_permission" "sns_invoke_lambda" {
  statement_id  = "AllowSNSToInvokeLambda"
  action        = "lambda:InvokeFunction"
  function_name = aws_lambda_function.lambda_function_test.function_name
  principal     = "sns.amazonaws.com"
  source_arn    = aws_sns_topic.example.arn # 指定触发的SNS Topic ARN
}

3. 创建SNS-Lambda订阅（实现事件触发） #

通过订阅将SNS Topic与Lambda关联，当SNS Topic收到消息时自动触发Lambda：

resource "aws_sns_topic_subscription" "lambda_subscription" {
  topic_arn = aws_sns_topic.example.arn
  protocol  = "lambda"
  endpoint  = aws_lambda_function.lambda_function_test.arn

  # 确保权限配置完成后再创建订阅
  depends_on = [aws_lambda_permission.sns_invoke_lambda]
}

4. 部署阶段主动触发Lambda（对应CloudFormation自定义资源） #

如果需要在Terraform部署过程中，当SNS Topic创建完成后主动执行一次Lambda（类似你参考的CloudFormation CustomResource逻辑），修改原有的aws_lambda_invocation资源：

resource "aws_lambda_invocation" "example" {
  function_name = aws_lambda_function.lambda_function_test.function_name

  # 触发器条件包含SNS Topic ARN，确保SNS创建/变更时才触发
  triggers = {
    sns_topic_arn = aws_sns_topic.example.arn
    lambda_env    = sha1(jsonencode([aws_lambda_function.lambda_function_test.environment]))
  }

  input = jsonencode({
    key1      = "value1"
    key2      = "value2"
    topic_arn = aws_sns_topic.example.arn # 将SNS ARN传入Lambda作为参数
  })

  # 依赖订阅资源，确保SNS和Lambda的关联已就绪
  depends_on = [aws_sns_topic_subscription.lambda_subscription]
}

关键注意事项 #

• depends_on：必须配置依赖关系，确保SNS Topic、Lambda权限、订阅资源按顺序创建，避免因资源未就绪导致的错误。
• 权限配置：source_arn限制只有指定的SNS Topic能调用Lambda，提升安全性，不要省略。
• 事件触发 vs 主动触发：aws_sns_topic_subscription实现的是SNS有消息时自动触发Lambda，而aws_lambda_invocation是Terraform部署阶段主动触发一次Lambda，根据你的需求选择配置。

内容的提问来源于stack exchange，提问作者yaarnick