为何IAM策略中使用aws:ResourceTag控制Lambda访问不生效？如何排查？

需求为给开发者角色配置权限，使其仅能读取带有特定标签的Lambda函数。已为资源配置以下标签：

参考AWS文档创建的IAM策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowReadingFunctionsByTags",
            "Effect": "Allow",
            "Action": [
                "lambda:ListTags",
                "lambda:GetFunction"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": { "aws:ResourceTag/team": "*developers*" },
                "StringEquals": { "aws:ResourceTag/environment": [ "dev" , "stg" ] }
            }
        },
        {
            "Sid": "ListAllFunctions",
            "Effect": "Allow",
            "Action": [
                "lambda:ListFunctions",
                "lambda:GetAccountSettings"
            ],
            "Resource": "*"
        }
    ]
}

切换至该角色测试时，出现错误：

User: arn:aws:sts::[REDACTED]:assumed-role/lambda_role/[REDACTED] is not authorized to perform: lambda:GetFunction on resource: arn:aws:lambda:eu-central-1:[REDACTED]:function:[LAMBDA NAME] because no identity-based policy allows the lambda:GetFunction action

已尝试以下方案均无效：

• 限制特定资源且无条件：有效
• 限制特定资源且带条件：无效
• 仅使用team标签：无效
• 仅使用environment标签：无效
• 对单团队资源用StringEquals匹配team标签：无效
• 添加所有支持条件的Lambda读写操作：无效
• 使用arn:aws:lambda:*:*:function:*作为资源：无效

同时IAM策略模拟器根据输入不同呈现不同结果，需明确该策略存在的问题及进一步调试方法。

核心问题是Lambda的GetFunction、ListTags这类操作不支持基于资源标签的条件判断。AWS并非所有服务的所有API操作都兼容资源标签条件，Lambda的这类读取操作属于不支持的范畴，因此无论怎么调整标签匹配逻辑或资源范围，带标签条件的策略都不会生效。

要实现仅允许访问特定标签Lambda的需求，需换用其他可行方式：

1. 基于函数命名规范的ARN匹配
   给符合条件的Lambda函数统一命名（比如前缀加dev-/stg-，或包含developers标识），修改IAM策略通过ARN匹配指定规则的函数：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowReadingSpecificFunctions",
            "Effect": "Allow",
            "Action": [
                "lambda:ListTags",
                "lambda:GetFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*dev-*",
                "arn:aws:lambda:*:*:function:*stg-*developers*"
            ]
        },
        {
            "Sid": "ListAllFunctions",
            "Effect": "Allow",
            "Action": [
                "lambda:ListFunctions",
                "lambda:GetAccountSettings"
            ],
            "Resource": "*"
        }
    ]
}

2. 借助AWS Resource Groups
   将符合标签条件的Lambda函数加入同一资源组，然后通过策略允许访问该资源组（注意资源组权限控制存在部分限制）。

1. 确认操作的标签条件支持性：查询AWS IAM文档中Lambda服务的条件键支持列表，明确哪些操作可以使用aws:ResourceTag/*条件
2. 使用IAM Access Analyzer：上传现有策略，让Analyzer检测策略中的无效条件或不支持的操作-条件组合
3. 测试最小化策略：创建仅包含单个操作+单个条件的极简策略，逐步验证是否生效，排除多条件、多操作的干扰
4. 核对资源实际标签：通过AWS CLI执行aws lambda list-tags --resource <lambda-function-arn>，确认目标Lambda的标签值是否完全符合策略中的匹配规则（注意AWS标签值区分大小写）
5. 检查角色权限边界与SCP：确认角色没有附加权限边界，且所在AWS组织没有限制该权限的服务控制策略（SCP）

内容的提问来源于stack exchange，提问作者Álvaro