在Lambda中为CloudWatch Logs组配置订阅过滤器时遭遇InvalidParameterException权限错误的技术求助

我之前碰到过完全一样的问题——控制台配置顺畅但API调用报错，核心原因在于控制台会自动帮你处理Lambda资源策略的授权，但直接调用put_subscription_filter接口不会，下面是一步步的排查和解决步骤：

1. 优先检查目标Lambda的资源策略（最常见的问题） #

CloudWatch Logs要调用你的目标Lambda，需要目标Lambda本身的资源策略明确允许它的调用权限，而不是只给目标Lambda的执行角色加权限。

• 打开目标Lambda的控制台，进入「配置」→「权限」→「资源策略」，查看是否有来自logs.<你的AWS区域>.amazonaws.com的授权条目
• 用CLI快速查询的命令：

  aws lambda get-policy --function-name <你的目标Lambda名称>
  

• 如果没有相关授权，手动添加一个：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "logs.<你的区域>.amazonaws.com"
        },
        "Action": "lambda:InvokeFunction",
        "Resource": "arn:aws:lambda:<你的区域>:<你的账号ID>:function:<目标Lambda名称>",
        "Condition": {
          "ArnLike": {
            "AWS:SourceArn": "arn:aws:logs:<你的区域>:<你的账号ID>:log-group:<你的日志组名称>:*"
          }
        }
      }
    ]
  }
  

• 用CLI添加权限的命令：

  aws lambda add-permission \
    --function-name <目标Lambda名称> \
    --principal logs.<你的区域>.amazonaws.com \
    --action lambda:InvokeFunction \
    --source-arn arn:aws:logs:<你的区域>:<你的账号ID>:log-group:<日志组名称>:* \
    --statement-id CWLogsInvokePermission-$(date +%s)
  

2. 确认iam:PassRole权限的正确应用场景 #

你提到已经配置了iam:PassRole，但这个权限只有在调用put_subscription_filter时指定了RoleArn参数才需要：

• 如果你的请求里传了RoleArn：需要确保执行put_subscription_filter的Lambda角色（也就是你的管理Lambda的执行角色）有iam:PassRole权限，且该权限的资源是你指定的RoleArn；同时这个被传递的角色需要有lambda:InvokeFunction权限去调用目标Lambda
• 如果你的请求没传RoleArn：那iam:PassRole其实是不需要的，这时候回到第一步检查资源策略即可

3. 检查区域和ARN的一致性 #

• 确保日志组、目标Lambda、执行订阅配置的Lambda都在同一个AWS区域，CloudWatch Logs的服务主体是区域化的，跨区域订阅需要额外配置（且报错信息通常不同）
• 核对put_subscription_filter请求中的SourceArn（日志组ARN）和FunctionArn（目标Lambda ARN），确保账号ID、区域、名称没有拼写错误

4. 用IAM工具验证权限 #

• 用IAM Policy Simulator模拟两个场景：
  1. 模拟logs.<区域>.amazonaws.com调用目标Lambda的lambda:InvokeFunction动作，看是否被允许
  2. 模拟你的管理Lambda的执行角色调用logs:PutSubscriptionFilter，以及（如果传了RoleArn）iam:PassRole动作

控制台之所以能成功，是因为AWS在控制台流程中会自动检测并添加Lambda的资源策略授权，而API调用不会做这个自动操作，这也是这类问题最容易被忽略的点。

内容的提问来源于stack exchange，提问作者Erik Asplund