如何验证CloudFront分发是否关联了Lambda@Edge函数？

方法1：CloudFront控制台检查 #

• 打开CloudFront控制台，找到目标分发
• 切换到「Behaviors」标签页，选中默认缓存行为后点击「Edit」
• 滚动到「Lambda Function Associations」区域，查看是否存在viewer-request和origin-response类型的函数关联（这里显示的ARN是复制到边缘区域后的格式，类似arn:aws:lambda:us-east-1::function:...:2）

方法2：AWS CLI验证 #

执行以下命令（替换为你的分发ID）：

aws cloudfront get-distribution --id YOUR_DISTRIBUTION_ID

在返回的JSON结果中，定位到DistributionConfig.DefaultCacheBehavior.LambdaFunctionAssociations节点，核对EventType和LambdaFunctionARN是否与CloudFormation配置一致。

方法3：CloudFormation栈确认 #

• 打开CloudFormation控制台，找到部署分发的目标栈
• 进入「Resources」标签页，找到对应的CloudFront分发资源
• 点击资源的「Physical ID」跳转到分发详情页，或直接查看栈配置，确认LambdaFunctionAssociations已正确生效

1. 权限配置检查 #

• 确认Lambda函数已复制到边缘区域：在Lambda控制台「Versions」标签下，每个发布版本会显示已复制的边缘区域列表
• 检查Lambda执行角色的信任关系，必须包含edgelambda.amazonaws.com和lambda.amazonaws.com；权限策略需包含cloudfront:InvokeFunction权限

2. CloudWatch日志定位 #

Lambda@Edge的日志生成在请求触发的边缘区域的CloudWatch日志组中，格式为/aws/lambda/[边缘区域].[函数名]：

• 通过Lambda控制台「Monitor」标签页，点击「View logs in CloudWatch」，切换到对应边缘区域查看日志
• 若没有日志，检查执行角色是否拥有logs:CreateLogGroup、logs:CreateLogStream、logs:PutLogEvents权限，或确认函数是否被触发

3. 502错误常见排查点 #

• 执行超时：viewer-request类型函数超时上限5秒，origin-response为30秒，检查函数逻辑是否有耗时操作（如远程调用）
• 返回格式错误：CloudFront要求函数返回严格符合规范的请求/响应对象，格式不匹配会直接返回502，比如新版Node.js使用async/await时需确保正确返回响应结构
• ARN引用错误：CloudFormation中必须引用Lambda函数的具体版本ARN（带版本号，如arn:aws:lambda:us-east-1::function:myfunc:1），不能使用未发布版本或无版本指向的别名
• 运行时兼容问题：更换Node.js运行时后，需同步调整代码语法，比如旧版教程的callback写法需改为async/await适配新版运行时

内容的提问来源于stack exchange，提问作者IARI