如何配置Lambda跨AWS账号触发Batch作业的权限？

一、使用角色假设（推荐方案） #

角色假设完全足够，这也是AWS官方推荐的跨账号权限管理方式，但需要源账号和目标账号配合完成IAM配置，具体步骤如下：

1. 目标账号（Batch作业所在账号）配置 #

• 创建一个专用IAM角色（比如命名为CrossAccountBatchExecutionRole）
  • 给该角色设置信任策略，允许源账号的Lambda执行角色来假设它：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "AWS": "arn:aws:iam::[源账号ID]:role/[Lambda执行角色名称]"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }
    

  • 给该角色附加Batch操作权限，比如允许提交作业、查询作业状态等：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "batch:SubmitJob",
            "batch:DescribeJobs"
          ],
          "Resource": [
            "arn:aws:batch:[区域]:[目标账号ID]:job-definition/[你的Job定义名]:*",
            "arn:aws:batch:[区域]:[目标账号ID]:job-queue/[你的Job队列名]"
          ]
        }
      ]
    }
    

2. 源账号（Lambda所在账号）配置 #

• 给Lambda的执行角色添加允许假设目标账号角色的权限：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::[目标账号ID]:role/CrossAccountBatchExecutionRole"
      }
    ]
  }
  

3. Lambda代码实现角色切换 #

在代码中调用sts:AssumeRole获取目标角色的临时凭证，再用该凭证初始化Batch客户端：

import boto3

def lambda_handler(event, context):
    # 假设目标账号的角色
    sts_client = boto3.client('sts')
    assumed_role = sts_client.assume_role(
        RoleArn='arn:aws:iam::[目标账号ID]:role/CrossAccountBatchExecutionRole',
        RoleSessionName='LambdaCrossAccountBatchSession'
    )
    
    # 使用临时凭证创建Batch客户端
    batch_client = boto3.client(
        'batch',
        aws_access_key_id=assumed_role['Credentials']['AccessKeyId'],
        aws_secret_access_key=assumed_role['Credentials']['SecretAccessKey'],
        aws_session_token=assumed_role['Credentials']['SessionToken'],
        region_name='[你的AWS区域]'
    )
    
    # 提交跨账号Batch作业
    response = batch_client.submit_job(
        jobName='CrossAccountBatchJob',
        jobQueue='[目标账号Job队列ARN]',
        jobDefinition='[目标账号Job定义ARN]'
    )
    return response

这种方式的优势是临时凭证自动过期，无长期密钥泄露风险，权限可精细管控，完全符合AWS安全最佳实践。

二、使用目标账号的IAM用户密钥（不推荐） #

虽然你持有目标账号的IAM密钥可以实现需求，但不建议采用——长期密钥存在泄露、难以轮换的风险。如果非要使用：

• 确保该IAM用户拥有batch:SubmitJob等所需操作权限
• 不要硬编码密钥，建议用AWS Secrets Manager存储并在Lambda中调用获取
• 代码示例：

import boto3

def lambda_handler(event, context):
    # 从Secrets Manager获取密钥（示例，需提前配置）
    secrets_client = boto3.client('secretsmanager')
    secret = secrets_client.get_secret_value(SecretId='TargetAccountBatchUserKeys')
    secret_dict = eval(secret['SecretString'])
    
    # 用目标账号密钥初始化Batch客户端
    batch_client = boto3.client(
        'batch',
        aws_access_key_id=secret_dict['access_key'],
        aws_secret_access_key=secret_dict['secret_key'],
        region_name='[你的AWS区域]'
    )
    
    # 提交Batch作业
    response = batch_client.submit_job(
        jobName='CrossAccountBatchJob',
        jobQueue='[目标账号Job队列ARN]',
        jobDefinition='[目标账号Job定义ARN]'
    )
    return response

关于角色假设是否足够的结论 #

是的，只要双方账号的IAM配置正确，角色假设完全满足跨账号触发Batch作业的需求，且是更安全、合规的方案。

内容的提问来源于stack exchange，提问作者hrii00