AWS根账号操作Lambda遇403权限拒绝问题求助

咱们一步步来拆解问题——你的根账号在创建/删除Lambda时碰到403权限错误，但DynamoDB操作完全正常，而且免费套餐已经到期一个月了，下面是针对性的排查方向：

• 检查根账号的IAM策略（别惊讶，根账号也可能被附加限制）
  很多人不知道根账号也能绑定IAM策略，有时候不小心加了限制就会出问题。打开IAM控制台，进入用户 > 你的根用户（或当前登录的账号），查看所有附加的策略。重点找有没有针对lambda:*的显式Deny操作，或是免费套餐到期后自动生效的限制规则。记住，只要有一条Deny就会覆盖所有Allow，这是最关键的检查点。

• 验证Lambda的服务配额（免费套餐到期后的变化）
  免费套餐到期可能会重置服务配额，但通常这会导致限流或计费错误，而非403。不过还是建议去服务配额控制台，搜索Lambda，确认有没有达到并发执行数或函数数量的硬限制。就算真的超了，错误提示也会不一样，但排除一下总没坏处。

• 检查旧Lambda的资源级策略
  对于那些删不掉的旧Lambda，看看它们的资源专属策略。打开Lambda控制台，进入对应函数，转到配置 > 权限 > 基于资源的策略。如果这里有一条策略拒绝了根账号的lambda:DeleteFunction操作，那就会直接阻止删除。

• 用AWS CLI获取更详细的错误信息
  试试用CLI执行Lambda操作，能得到比控制台更具体的错误原因。比如运行创建函数的命令：

  aws lambda create-function --function-name test-function --runtime python3.11 --role arn:aws:iam::你的账号ID:role/lambda-basic-execution --handler lambda_function.lambda_handler --zip-file fileb://function.zip
  

  CLI返回的错误会明确告诉你是缺哪个权限，还是配额问题。哪怕还是403，也能给出精准线索——比如提示“根账号无lambda:CreateFunction权限”，就说明是身份策略的问题。

• 排查计费相关的隐性限制
  如果计费有异常（比如支付方式过期、未付账单），AWS可能会限制部分服务，哪怕其他服务正常。去计费控制台 > 付款确认有没有未结清的余额。就算你收到了免费套餐到期的邮件，也得再检查下支付方式是否有效——有时候微妙的计费问题会伪装成权限错误。

• 排除AWS组织SCP策略的影响
  如果你的账号属于AWS组织，检查下有没有附加到OU或账号的服务控制策略（SCP）阻止了Lambda操作。SCP对所有用户（包括根账号）都生效，而且会覆盖IAM策略。打开Organizations控制台，进入你的账号，查看附加的SCP里有没有针对Lambda的Deny语句。

因为你受限于基础套餐没法联系AWS技术支持，这些步骤应该能帮你定位问题。先从根账号的IAM策略检查开始吧——既然其他服务都正常，这大概率是问题所在。

内容的提问来源于stack exchange，提问作者Nigrimmist