如何为AWS CDK同一栈创建的Lambda默认角色添加托管策略？

问题原因 #

你遇到的role可能未定义错误，是因为CDK会延迟创建Lambda的默认角色——在Function实例初始化完成前，role属性还未被赋值，直接访问会返回undefined。

解决方案1：使用非空断言操作符（推荐，适用于默认角色场景） #

由于你没有指定自定义角色，CDK一定会为Lambda生成默认执行角色，因此可以用!非空断言告诉TypeScript该属性必然存在，然后添加托管策略：

// 注意：托管策略名称直接用AmazonRedshiftDataFullAccess即可，无需service-role前缀
this.lambdaFunction.role!.addManagedPolicy(
  ManagedPolicy.fromAwsManagedPolicyName("AmazonRedshiftDataFullAccess")
);

解决方案2：显式创建自定义角色（适用于需要精细控制权限的场景） #

如果你希望更清晰地管理Lambda角色，可提前创建角色并关联到Function：

// 1. 创建Lambda执行角色，添加所需托管策略
const lambdaRole = new Role(this, "LambdaExecutionRole", {
  assumedBy: new ServicePrincipal("lambda.amazonaws.com"),
  managedPolicies: [
    // 添加Redshift数据全访问策略
    ManagedPolicy.fromAwsManagedPolicyName("AmazonRedshiftDataFullAccess"),
    // 必须添加Lambda基础执行策略，否则Lambda无法完成日志输出等基础操作
    ManagedPolicy.fromAwsManagedPolicyName("service-role/AWSLambdaBasicExecutionRole"),
    // 如果你的Lambda部署在VPC中，还需要添加VPC访问执行策略
    ManagedPolicy.fromAwsManagedPolicyName("service-role/AWSLambdaVPCAccessExecutionRole")
  ]
});

// 2. 创建Lambda时指定自定义角色
this.lambdaFunction = new Function(this, 'LambdaName', {
  functionName: 'LambdaName',
  description: `Timestamp: ${new Date().toISOString()} `,
  code: ...,
  handler: '...',
  memorySize: 512,
  timeout: Duration.seconds(30),
  vpc: ...,
  runtime: Runtime.PYTHON_3_8,
  role: lambdaRole // 指定自定义角色
});

注意事项 #

• 托管策略名称：AWS官方托管策略的标准名称可在IAM控制台的策略列表中查看，AmazonRedshiftDataFullAccess是正确的名称，无需额外前缀。
• VPC场景：如果Lambda部署在VPC内，必须添加AWSLambdaVPCAccessExecutionRole托管策略，否则Lambda无法获取VPC内的网络资源权限。

内容的提问来源于stack exchange，提问作者Manoj Kumar S