如何让Lambda挂载EFS访问点时仅访问指定子路径？

核心场景 #

你需要让多个Lambda分别访问EFS中/parentDir下的独立子目录（如childDir1/childDir2等），但现有/parentDir访问点允许所有Lambda访问全部子目录，且因访问点120个/账户/区域的上限，无法为每个Lambda单独创建访问点，希望找到类似EKS中subPath的实现方式。

可行解决方案 #

1. 基于POSIX权限+访问点用户映射的硬隔离（推荐）

Lambda挂载EFS时不支持直接指定subPath，但可以通过文件系统权限+访问点的POSIX用户配置实现子目录隔离，无需创建多个访问点：

• 先在EFS的/parentDir下，为每个childDirX设置独立的属主/属组权限：

  # 示例：为childDir1设置属主uid=1001，属组gid=1001
  chown 1001:1001 /parentDir/childDir1
  chmod 700 /parentDir/childDir1
  

• 复用现有的/parentDir访问点，在Lambda配置EFS挂载时，为每个Lambda指定不同的POSIX用户ID和组ID：
  • 比如Lambda1挂载时指定UID=1001、GID=1001，Lambda2指定UID=1002、GID=1002
  • 这样每个Lambda通过访问点挂载后，只能访问对应权限的childDir，无法读取或写入其他子目录

2. 代码层面的软限制（补充手段）

如果权限配置有局限，可以在Lambda函数代码中强制限定文件操作的路径范围：

• 所有文件读写操作都固定指向/mnt/efs/childDirX（X为对应Lambda的子目录）
• 在代码中添加路径校验逻辑，禁止访问/mnt/efs下的其他目录

说明 #

目前Lambda挂载EFS时不支持像EKS那样通过subPath直接指定子路径，因此上述权限隔离是最可靠的方案，既能规避访问点数量上限，又能实现严格的目录访问控制。

内容的提问来源于stack exchange，提问作者dhruvparekh12