为何通过fromRoleName获取的现有Role无法调用addToPolicy方法？

当你用Role.fromRoleName()或Role.fromRoleARN()获取现有角色时，返回的对象其实是IRole接口的实现，而非直接的Role类实例。而addToPolicy()是Role类独有的方法，仅适用于CDK栈内正在创建的角色，所以外部角色对象没有这个方法。

两种场景的差异： #

• 创建新角色（new Role）：
  用new Role()创建的是当前CDK栈管理的资源，CDK拥有对它的完全控制权，因此可以调用addToPolicy()直接给角色添加内联策略。示例代码：

  testRole = new Role(this,"test-role", {
    assumedBy: new ServicePrincipal('lambda.amazonaws.com')
  })
  testRole.addToPolicy() // 可正常执行
  

• 引用现有角色（fromRoleName/fromRoleARN）：
  这类方法获取的是外部已存在的角色，CDK只能引用它，无法直接修改它的权限配置（因为角色不属于当前栈）。因此这类IRole对象不提供addToPolicy()方法。示例代码：

  let testRole=Role.fromRoleName(this,"test-role","test-role");
  testRole.addToPolicy() // 找不到该方法
  

解决方案 #

如果需要给外部角色添加权限，你可以：

• 创建一个ManagedPolicy，然后通过testRole.addManagedPolicy()将策略关联到外部角色（前提是你有对应的权限）；
• 如果只是需要让当前栈中的资源使用该角色，直接引用IRole对象即可，无需修改角色本身的策略。

内容的提问来源于stack exchange，提问作者Chris Mitchell