如何为AWS Lambda运行的ECR镜像配置环境参数？

核心结论 #

不需要修改当前的Dockerfile，你可以通过Lambda的配置界面直接注入环境变量，或者采用更安全的Lambda执行角色方案。

方案一：直接在Lambda中配置环境变量 #

这是和本地运行逻辑最接近的方式，步骤如下：

1. 打开AWS Lambda控制台，找到你的镜像部署的函数
2. 切换到「配置」标签页，选择左侧菜单的「环境变量」
3. 点击「编辑」按钮，添加两个环境变量：
   • 键：AWS_ACCESS_KEY_ID，值填写你的AWS访问密钥ID
   • 键：AWS_SECRET_ACCESS_KEY，值填写你的AWS秘密访问密钥
4. 保存配置后，重新触发Lambda函数，即可测试S3访问是否正常

方案二：使用Lambda执行角色（推荐） #

硬编码或通过环境变量传递密钥存在安全风险，AWS官方推荐使用执行角色来赋予Lambda访问S3的权限：

1. 进入IAM控制台，创建一个新的角色：
   • 受信任实体类型选择「AWS服务」，使用案例选择「Lambda」
   • 为该角色添加S3权限策略（比如s3:GetObject、s3:PutObject等，根据你的ETL任务需求调整权限范围）
2. 回到Lambda控制台，进入函数的「配置」->「权限」页面
3. 在「执行角色」部分，将当前角色替换为刚创建的带S3权限的角色
4. 此时可以删除Dockerfile中ENV AWS_ACCESS_KEY_ID=和ENV AWS_SECRET_ACCESS_KEY=这两行，AWS SDK会自动从Lambda的运行环境中获取临时凭证，无需手动配置密钥

问题原因说明 #

本地运行时你通过docker run -e参数直接注入了有效的AWS密钥，所以能正常访问S3；而Lambda默认不会自动传递这些变量，导致函数运行时无法获取合法的访问凭证，从而触发权限禁止错误。既然你已经确认S3权限配置无问题，核心就是Lambda没有拿到正确的访问凭证。

Dockerfile的处理建议 #

当前Dockerfile里的空环境变量只是占位符，不影响Lambda的配置，可以保留也可以删除。如果选择使用执行角色方案，建议删除这两行，避免后续维护时产生混淆。

内容的提问来源于stack exchange，提问作者david backx