在CloudFormation中为AWS EventBridge规则添加Lambda目标角色失败

我完全懂你遇到的这个头疼问题——在CloudFormation里给EventBridge规则的Target加RoleArn直接报错，把RoleArn移到规则本身虽然能部署，但EventBridge还是没权限调用Lambda，只有控制台手动编辑目标才能自动搞定权限。这其实是因为Lambda作为EventBridge目标时，权限机制和其他服务不一样。

问题根源 #

EventBridge调用Lambda函数不需要在Target或Rule上指定RoleArn，Lambda的调用权限是通过自身的资源策略来管控的。控制台手动编辑目标时，AWS会自动帮你生成这个策略，但CloudFormation里必须显式定义这个权限资源才行。

正确的CloudFormation配置方案 #

你需要做两个关键调整：

1. 删掉Target中的RoleArn参数（Lambda目标根本不支持这个配置）
2. 添加AWS::Lambda::Permission资源，专门授权EventBridge调用你的Lambda函数

修改后的完整代码如下：

EventRuleNewCustomer:
  Type: AWS::Events::Rule
  Properties:
    Name: new-customer
    EventBusName: myEventBus
    Description: "New customer event rule"
    EventPattern:
      detail-type:
        - "NewCustomer"
    State: "ENABLED"
    Targets:
      - Arn: !Join ["", ["arn:aws:lambda:" ,!Ref "AWS::Region", ":", !Ref "AWS::AccountId", ":function:contacts-lambda-consume-new-customer"] ]
        Id: "NewCustomer"
        # 移除Target内的RoleArn，Lambda目标不需要此配置

# 新增Lambda权限资源，授权EventBridge调用该函数
LambdaInvokePermission:
  Type: AWS::Lambda::Permission
  Properties:
    FunctionName: !Join ["", ["arn:aws:lambda:" ,!Ref "AWS::Region", ":", !Ref "AWS::AccountId", ":function:contacts-lambda-consume-new-customer"] ]
    Action: lambda:InvokeFunction
    Principal: events.amazonaws.com
    SourceArn: !GetAtt EventRuleNewCustomer.Arn

代码说明 #

• LambdaInvokePermission：明确告知AWS，允许EventBridge服务主体（events.amazonaws.com）执行lambda:InvokeFunction操作，并且限制只能来自你创建的这个特定EventBridge规则（通过SourceArn绑定规则ARN），保证权限的最小化。
• 规则本身无需RoleArn：这个参数是给EventBridge调用需要IAM角色授权的服务（比如启动ECS任务、发送SQS消息等）时用的，Lambda不属于这类场景。

这样部署CloudFormation堆栈后，EventBridge就能正常触发你的Lambda函数了，再也不用手动去控制台调整目标权限。

内容的提问来源于stack exchange，提问作者kiwichris