本地调用含S3访问的Python Lambda函数时的权限问题排查

这个问题我之前也碰到过，核心原因其实是你用sudo运行sam local invoke导致的权限环境隔离问题，下面给你拆解原因和对应的解决办法：

问题根源 #

当你用sudo执行命令时，系统会切换到root用户的环境下运行程序。而AWS CLI和boto3默认读取的凭证文件是当前用户家目录下的~/.aws/credentials——普通用户的~是/home/你的用户名，但root用户的~是/root，所以sam local在root环境下找不到你配置的有效凭证，就会抛出InvalidAccessKeyId错误。

而你直接运行python app.py或aws s3 ls时用的是普通用户身份，自然能读取到正确的凭证文件，所以正常工作。

解决方案 #

1. 最推荐：去掉sudo直接运行 #

sam local invoke根本不需要root权限，除非你碰到了端口占用（但invoke模式不需要绑定端口）。直接执行：

sam build; sam local invoke HelloWorldFunction --no-event

这应该能直接解决问题，因为此时程序会用你当前用户的环境和凭证。

2. 特殊场景必须用sudo时：传递当前用户的环境变量 #

如果确实有特殊需求必须用sudo，可以加上-E参数保留当前用户的环境变量（包括AWS相关的环境变量）：

sam build; sudo -E sam local invoke HelloWorldFunction --no-event

-E参数会让sudo继承当前用户的所有环境变量，其中就包含AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY这些凭证信息，这样sam local就能拿到正确的凭证了。

3. 额外排查点：检查代码和SAM配置 #

• 确认你的代码里没有硬编码错误的AWS凭证（你的代码里没有，这条可以跳过）；
• 检查template.yaml里的Policies配置：你已经加了AmazonS3FullAccess，这在本地调用时其实不生效——本地调用的权限还是依赖你本地的凭证，SAM的Policies是部署到AWS后生效的，所以这部分没问题。

验证方法 #

执行完上面的方案后，再次运行sam local invoke，应该能正常列出S3桶信息，返回预期的响应了。

内容的提问来源于stack exchange，提问作者geo909