使用AWS STS生成临时凭证调用Lambda时遇ERR_INVALID_ARG_TYPE错误

先从最常见的问题入手排查：

1. 临时凭证的构造格式错误（大概率是ERR_INVALID_ARG_TYPE的原因） #

AWS SDK v2和v3对凭证的要求不一样，别混用格式：

针对SDK v2 #

必须用AWS.Credentials实例初始化Lambda客户端，不能直接传普通对象：

const AWS = require('aws-sdk');
const sts = new AWS.STS();

sts.assumeRole({
  RoleArn: 'arn:aws:iam::123456789012:role/你的受限临时角色',
  RoleSessionName: `DynamicSession-${Date.now()}` // 会话名要唯一
}, (err, stsRes) => {
  if (err) throw err;

  // 正确构造临时凭证实例
  const tempCreds = new AWS.Credentials({
    accessKeyId: stsRes.Credentials.AccessKeyId,
    secretAccessKey: stsRes.Credentials.SecretAccessKey,
    sessionToken: stsRes.Credentials.SessionToken
  });

  // 初始化Lambda客户端时传入凭证
  const lambda = new AWS.Lambda({
    credentials: tempCreds,
    region: 'us-east-1' // 必须和目标Lambda区域完全一致
  });

  // 调用目标Lambda，设置合理超时
  lambda.invoke({
    FunctionName: '你的目标Lambda名称',
    Payload: JSON.stringify({ key: 'value' }),
    InvocationType: 'RequestResponse',
    Timeout: 30000 // 最大支持30秒，按需调整
  }, (invokeErr, invokeRes) => {
    if (invokeErr) {
      console.error('调用失败:', invokeErr);
      return;
    }
    console.log('调用结果:', JSON.parse(invokeRes.Payload));
  });
});

针对SDK v3 #

要用fromStatic工具函数包装临时凭证，不能直接传对象：

const { STSClient, AssumeRoleCommand } = require('@aws-sdk/client-sts');
const { LambdaClient, InvokeCommand } = require('@aws-sdk/client-lambda');
const { fromStatic } = require('@aws-sdk/credential-provider-static');

const stsClient = new STSClient({ region: 'us-east-1' });

stsClient.send(new AssumeRoleCommand({
  RoleArn: 'arn:aws:iam::123456789012:role/你的受限临时角色',
  RoleSessionName: `DynamicSession-${Date.now()}`
}))
.then(stsRes => {
  const tempCreds = {
    accessKeyId: stsRes.Credentials.AccessKeyId,
    secretAccessKey: stsRes.Credentials.SecretAccessKey,
    sessionToken: stsRes.Credentials.SessionToken
  };

  // 用fromStatic包装凭证后传入Lambda客户端
  const lambdaClient = new LambdaClient({
    region: 'us-east-1',
    credentials: fromStatic(tempCreds)
  });

  return lambdaClient.send(new InvokeCommand({
    FunctionName: '你的目标Lambda名称',
    Payload: JSON.stringify({ key: 'value' }),
    InvocationType: 'RequestResponse',
    Timeout: 30000
  }));
})
.then(invokeRes => {
  console.log('调用结果:', JSON.parse(Buffer.from(invokeRes.Payload).toString()));
})
.catch(err => console.error('错误:', err));

2. 检查权限链是否完整 #

整个流程需要三层权限，缺一个都会出问题：

• 当前Lambda执行角色：必须有sts:AssumeRole权限，允许扮演你的临时角色
  示例政策：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::123456789012:role/你的受限临时角色"
      }
    ]
  }
  

• 临时角色：必须有lambda:InvokeFunction权限，目标是你要调用的Lambda ARN
  示例政策：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "lambda:InvokeFunction",
        "Resource": "arn:aws:lambda:us-east-1:123456789012:function:你的目标Lambda名称"
      }
    ]
  }
  

• 临时角色的信任关系：必须允许当前Lambda执行角色来扮演它
  示例信任政策：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::123456789012:role/当前Lambda执行角色"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

3. 区域和超时设置要匹配 #

• 确保Lambda客户端的region参数和目标Lambda所在区域完全一致，跨区域调用会直接超时
• invoke时的Timeout参数要足够大，默认值可能不足以覆盖目标Lambda的执行时间，最大可以设为30000毫秒（30秒）

4. 开启调试日志排查细节 #

如果以上都没问题，开启SDK的调试日志看具体请求过程：

• v2：AWS.config.logger = console;
• v3：在客户端构造时添加logger: console，或者设置环境变量AWS_DEBUG=true

内容的提问来源于stack exchange，提问作者nanoputian