如何提前查看AWS Lambda中Boto3代码所需的权限？

静态代码扫描方案 #

• 专用扫描工具：可以使用boto3-permissions-scanner这类工具，它能直接扫描你的Boto3代码文件或目录，识别代码中调用的所有Boto3客户端/资源方法，并映射为对应的IAM权限动作。比如代码里调用client.create_function()，工具会输出lambda:CreateFunction权限。
• 自定义简易脚本：如果不想依赖第三方工具，可基于AWS服务的权限映射逻辑写脚本。先整理常用Boto3方法与IAM权限的对应关系（比如s3.put_object()对应s3:PutObject，cloudwatch.put_metric_data()对应cloudwatch:PutMetricData），然后用代码遍历目标文件，提取所有Boto3调用的方法名，匹配输出对应的权限列表。

动态权限捕获方案 #

• 使用iamlive工具，它能在本地运行Boto3代码时，通过代理捕获所有实际发起的AWS API请求，自动生成精确的IAM权限列表。只需设置环境变量让Boto3的请求路由到iamlive代理，运行代码后就能得到完整的权限需求，适合复杂交互场景下的精准提取。

手动映射方案 #

• 直接查阅AWS官方的服务IAM权限参考，每个AWS服务的API动作都对应明确的IAM权限。梳理代码中调用的每个Boto3方法，对照文档找到对应的权限动作。比如Boto3的lambda.Client.create_function对应lambda:CreateFunction，s3.Bucket.upload_file对应s3:PutObject。

内容的提问来源于stack exchange，提问作者john4ster