AWS CloudFormation中Lambda与S3桶的循环依赖问题求助

你要在同一个CFN栈里搞定Lambda和存放其代码包的S3桶，核心矛盾是Lambda创建时需要桶里的代码包存在，但桶本身也是栈的一部分，刚创建时是空的。下面是两种纯栈内管理的可行方案：

方案1：用自定义资源（Custom Resource）自动上传代码包 #

这个方案靠一个轻量的内嵌Lambda作为自定义资源，在栈创建S3桶后自动把主Lambda的代码包上传进去，然后再创建主Lambda。

模板核心片段： #

1. 先定义S3桶：

Resources:
  LambdaCodeBucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName: !Sub "lambda-code-${AWS::AccountId}-${AWS::Region}"

2. 定义负责上传代码的自定义资源Lambda（代码内嵌，无需外部包）：

CodeUploaderFunction:
    Type: AWS::Lambda::Function
    Properties:
      Runtime: python3.12
      Handler: index.lambda_handler
      Role: !GetAtt CodeUploaderRole.Arn
      Code:
        ZipFile: |
          import boto3
          import cfnresponse
          import base64
          from io import BytesIO

          s3 = boto3.client('s3')

          def lambda_handler(event, context):
              try:
                  bucket_name = event['ResourceProperties']['BucketName']
                  # 本地执行`base64 main-lambda.zip > main-lambda.b64`获取字符串
                  code_base64 = "你的主Lambda代码包base64字符串"
                  code_zip = BytesIO(base64.b64decode(code_base64))
                  
                  s3.put_object(
                      Bucket=bucket_name,
                      Key='main-lambda.zip',
                      Body=code_zip.getvalue()
                  )
                  cfnresponse.send(event, context, cfnresponse.SUCCESS, {})
              except Exception as e:
                  cfnresponse.send(event, context, cfnresponse.FAILED, {'Error': str(e)})

  CodeUploaderRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: lambda.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: S3UploadAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action: s3:PutObject
                Resource: !Sub "${LambdaCodeBucket.Arn}/*"
              - Effect: Allow
                Action: logs:CreateLogGroup
                Resource: !Sub "arn:aws:logs:${AWS::Region}:${AWS::AccountId}:log-group:/aws/lambda/*"
              - Effect: Allow
                Action:
                  - logs:CreateLogStream
                  - logs:PutLogEvents
                Resource: !Sub "arn:aws:logs:${AWS::Region}:${AWS::AccountId}:log-group:/aws/lambda/*:*"

3. 定义自定义资源，触发代码上传：

UploadLambdaCode:
    Type: Custom::LambdaCodeUploader
    Properties:
      ServiceToken: !GetAtt CodeUploaderFunction.Arn
      BucketName: !Ref LambdaCodeBucket

4. 最后定义主Lambda，依赖自定义资源完成：

MainLambdaFunction:
    Type: AWS::Lambda::Function
    Properties:
      Runtime: python3.12
      Handler: lambda_function.lambda_handler
      Role: !GetAtt MainLambdaRole.Arn
      Code:
        S3Bucket: !Ref LambdaCodeBucket
        S3Key: main-lambda.zip
    DependsOn: UploadLambdaCode

注意：主Lambda代码包不大的话适合用base64内嵌，要是包太大，也可以让自定义资源从其他可信位置拉取，但这样会引入外部资源，小体量代码优先用内嵌。

方案2：用AWS SAM简化流程 #

SAM是CloudFormation的扩展，专门针对无服务器应用，它会自动帮你处理Lambda代码包的上传和S3桶的管理，完全不用手动处理依赖顺序。

SAM模板示例： #

AWSTemplateFormatVersion: '2010-09-09'
Transform: AWS::Serverless-2016-10-31

Resources:
  MainLambdaFunction:
    Type: AWS::Serverless::Function
    Properties:
      Runtime: python3.12
      Handler: lambda_function.lambda_handler
      CodeUri: ./path-to-your-lambda-code/ # 本地代码目录或zip文件路径

# SAM会自动创建S3桶（未指定时），打包上传CodeUri里的代码，最终生成包含桶和Lambda的CFN栈

部署时用sam deploy --guided，SAM会自动处理所有细节，最终生成的CFN栈里包含了存放代码的S3桶和Lambda，完全实现全栈内管理。这个方案比自定义资源简单得多，无服务器架构优先选它。

内容的提问来源于stack exchange，提问作者f.khantsis