AWS Lambda容器镜像部署访问S3桶偶现权限拒绝问题排查

以下是针对你遇到的偶现Access Denied错误的具体排查方向：

1. 确认Lambda执行角色的信任策略 #

Lambda执行角色必须允许lambda.amazonaws.com服务主体扮演该角色，否则可能偶尔无法获取有效临时凭证。检查角色的信任策略是否包含以下配置：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

若信任策略缺失或配置错误，Lambda可能偶尔无法完成角色假设，导致使用无效凭证访问S3。

2. 验证桶策略的Principal准确性 #

你桶策略中指定的Principal是Lambda角色的ARN，需确认：

• ARN中的<account_id>和<lambda_role_arn>完全正确，无拼写错误或多余字符
• 该ARN确实是Lambda执行角色的ARN，而非IAM用户或其他角色的ARN
  Principal配置有误时，可能存在部分请求使用错误身份（比如容器复用导致的身份残留），引发偶现拒绝。

3. 排查IAM权限冲突 #

即使给Lambda角色附加了s3FullAccess，以下情况仍会导致权限被拒绝：

• 组织级SCP：检查AWS组织是否存在拒绝S3 ListObjects操作的服务控制策略
• 权限边界：Lambda执行角色是否设置了权限边界，且边界未包含S3 ListObjects权限
• 显式拒绝策略：检查角色或账户是否存在任何Effect: Deny的IAM策略，拒绝了S3相关操作

4. 检查容器镜像的凭证配置 #

本地运行容器用的是本地AWS凭证，而AWS上的Lambda应自动使用执行角色的临时凭证。若Docker镜像存在以下情况，会导致凭证冲突：

• 镜像中硬编码了AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY环境变量
• 镜像中包含本地的.aws/credentials文件
  这些内容会干扰Lambda的默认凭证链，导致偶尔使用错误凭证访问S3。

5. 调整boto3资源的初始化位置 #

如果代码在Lambda容器的全局作用域初始化boto3资源（比如函数外定义s3 = boto3.resource('s3')），容器复用时可能复用旧的临时凭证。建议在函数处理逻辑内部初始化boto3资源：

def lambda_handler(event, context):
    s3 = boto3.resource('s3')
    bucket = s3.Bucket(BUCKET_NAME)
    for obj in bucket.objects.filter(Prefix=file_path):
        # 业务处理逻辑

6. 检查S3桶的ACL设置 #

虽然桶策略允许了Lambda角色的访问，但如果桶的访问控制列表（ACL）设置了严格权限，可能覆盖桶策略的允许规则。检查桶的ACL是否允许Authenticated Users（或你的Lambda角色）拥有读取权限。

内容的提问来源于stack exchange，提问作者nmnsharma007