AWS Websocket多区域部署：跨区调用postToConnection遇权限异常求助

解决InvalidSignatureException异常 #

这个异常的核心原因是调用postToConnection时使用的客户端区域与目标WebSocket API所在区域不匹配，AWS签名要求凭证必须与请求的资源区域一致。

解决步骤：

• 存储连接ID时，同时记录该连接所属的区域（Route53分发后，用户连接会绑定到特定区域的API Gateway）
• 调用postToConnection前，根据连接所属区域创建对应区域的ApiGatewayManagementApi客户端

TypeScript代码示例：

import { ApiGatewayManagementApiClient, PostToConnectionCommand } from "@aws-sdk/client-apigatewaymanagementapi";

// 从存储中获取连接ID及其所属区域
const { connectionId, region } = getConnectionInfo();

// 创建对应区域的客户端
const apiClient = new ApiGatewayManagementApiClient({
  region: region,
  // 若使用IAM角色，确保角色权限覆盖目标区域
  credentials: process.env.AWS_ACCESS_KEY_ID ? {
    accessKeyId: process.env.AWS_ACCESS_KEY_ID,
    secretAccessKey: process.env.AWS_SECRET_ACCESS_KEY
  } : undefined
});

// 执行发送操作
const sendCommand = new PostToConnectionCommand({
  ConnectionId: connectionId,
  Data: Buffer.from("你的消息内容")
});

try {
  await apiClient.send(sendCommand);
} catch (err) {
  // 处理错误
}

解决ForbiddenException异常 #

出现这个异常通常是权限或资源匹配问题，按以下顺序排查：

1. 验证连接ID有效性
   连接ID与特定区域的API Gateway绑定，跨区域的连接ID在其他区域的API Gateway中无效，必须确保调用时使用的连接ID属于当前客户端对应的区域。

2. 检查Lambda执行角色权限
   虽然你配置了execute-api:*的操作，但需确认资源ARN是否覆盖目标区域的API Gateway。若要更安全，可将资源ARN细化为：

   arn:aws:execute-api:<目标区域>:${ACCOUNT-ID}:<API-ID>/*/POST/@connections/*
   

   同时确保角色信任策略允许Lambda服务承担该角色，且权限策略已生效（IAM权限更新可能需要几分钟同步）。

3. 检查API Gateway资源策略
   若API Gateway配置了资源策略，需添加允许Lambda执行角色调用postToConnection的规则，示例策略：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::${ACCOUNT-ID}:role/你的Lambda执行角色ARN"
         },
         "Action": "execute-api:Invoke",
         "Resource": "arn:aws:execute-api:<目标区域>:${ACCOUNT-ID}:<API-ID>/*/POST/@connections/*"
       }
     ]
   }
   

4. 确认API Gateway端点配置
   创建ApiGatewayManagementApi客户端时，若手动指定端点，必须使用对应区域的WebSocket API管理端点（格式：https://<API-ID>.execute-api.<区域>.amazonaws.com/<阶段>），避免端点区域不匹配。

内容的提问来源于stack exchange，提问作者Brian Anderson