部署AWS CDK栈时，哪个角色需配置secretsmanager:GetSecretValue权限？

需要配置权限的角色 #

你需要为Lambda的Kafka事件源映射角色添加secretsmanager:GetSecretValue权限。如果没有手动指定该角色，CDK会自动创建一个命名格式类似[你的Lambda函数名]-KafkaEventSourceMappingRole-[随机后缀]的IAM角色。

为什么手动配置权限无效 #

CDK会在部署阶段重新合成IAM角色的配置，手动在IAM控制台添加的权限会被CDK的模板覆盖，必须通过CDK代码定义权限才能持久生效。

代码修正示例 #

假设你的原有代码如下：

import * as cdk from 'aws-cdk-lib';
import * as lambda from 'aws-cdk-lib/aws-lambda';
import { ManagedKafkaEventSource } from 'aws-cdk-lib/aws-lambda-event-sources';
import * as secretsmanager from 'aws-cdk-lib/aws-secretsmanager';
import { Construct } from 'constructs';

export class KafkaLambdaStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // 引用Secrets Manager中的密钥
    const kafkaSecret = secretsmanager.Secret.fromSecretAttributes(this, 'KafkaSecret', {
      secretArn: 'arn:aws:secretsmanager:us-east-1:123456789012:secret:kafka-credentials-XXXXXX',
    });

    // 创建Lambda函数
    const kafkaConsumer = new lambda.Function(this, 'KafkaConsumerLambda', {
      runtime: lambda.Runtime.NODEJS_20_X,
      handler: 'index.handler',
      code: lambda.Code.fromAsset('lambda'),
    });

    // 添加Kafka事件源
    const kafkaEventSource = new ManagedKafkaEventSource({
      clusterArn: 'arn:aws:kafka:us-east-1:123456789012:cluster/my-kafka-cluster/12345678-1234-5678-9012-34567890abcd',
      topic: 'my-topic',
      secret: kafkaSecret,
      startingPosition: lambda.StartingPosition.TRIM_HORIZON,
    });

    kafkaConsumer.addEventSource(kafkaEventSource);
  }
}

添加权限的代码 #

在添加事件源后，加上以下代码，自动为事件源映射角色授予密钥读取权限：

// 为Kafka事件源映射角色授予Secrets Manager读取权限
if (kafkaEventSource.eventSourceMappingRole) {
  kafkaSecret.grantRead(kafkaEventSource.eventSourceMappingRole);
}

手动指定事件源映射角色的情况 #

如果你需要手动管理角色，也可以显式创建角色并关联：

import * as iam from 'aws-cdk-lib/aws-iam';

// 创建专门的事件源映射角色
const eventSourceRole = new iam.Role(this, 'KafkaEventSourceRole', {
  assumedBy: new iam.ServicePrincipal('lambda.amazonaws.com'),
});

// 授予密钥读取权限
kafkaSecret.grantRead(eventSourceRole);

// 在事件源配置中指定该角色
const kafkaEventSource = new ManagedKafkaEventSource({
  clusterArn: 'arn:aws:kafka:us-east-1:123456789012:cluster/my-kafka-cluster/12345678-1234-5678-9012-34567890abcd',
  topic: 'my-topic',
  secret: kafkaSecret,
  startingPosition: lambda.StartingPosition.TRIM_HORIZON,
  eventSourceMappingRole: eventSourceRole, // 指定手动创建的角色
});

kafkaConsumer.addEventSource(kafkaEventSource);

验证方式 #

部署修正后的CDK栈后，查看IAM角色的权限策略，确认包含secretsmanager:GetSecretValue权限，且资源指向你的Kafka密钥ARN。

内容的提问来源于stack exchange，提问作者John O