绑定IAM角色的EC2访问AWS_IAM鉴权LambdaURL报Forbidden问题

给角色绑定全权限依旧返回Forbidden的核心原因和IAM权限配置无关：AWS_IAM认证模式的Lambda Function URL会在请求接入层直接校验SigV4签名，无签名、签名无效的请求会被直接拦截，根本不会走到后续的IAM权限判断逻辑，直接用curl/普通HTTP客户端发裸请求必然被拦。

不用手动编写SigV4签名逻辑，也不需要硬编码AK/SK，依托EC2实例元数据服务（IMDS）自动获取「jenkins」角色的临时凭证，有两种最稳定的实现方式，直接集成到Jenkins构建步骤即可：

方式1：使用官方AWS CLI（推荐，无额外依赖） #

提前在Jenkins构建代理上预装AWS CLI，配置好默认区域，CLI会自动从IMDS拉取绑定角色的临时凭证完成签名，不需要额外配置身份信息，示例命令：

# 替换对应参数为你的实际配置
aws lambda invoke-function-url \
  --function-url https://<your-lambda-url-id>.lambda-url.<region>.on.aws/ \
  --invocation-type RequestResponse \
  --payload '{"biz_param":"value"}' \
  response.json

如果需要自定义请求方法、请求头，可以直接用CLI内置的SigV4签名能力发起通用HTTP请求。

方式2：使用awscurl发起自定义HTTP请求 #

如果需要灵活构造请求（比如自定义Header、使用PUT/DELETE等方法），可以在构建代理上通过pip install awscurl安装awscurl工具，该工具同样会自动从IMDS获取角色临时凭证完成签名，示例：

awscurl --service lambda \
  --region <your-aws-region> \
  -X POST \
  -H "Content-Type: application/json" \
  -d '{"biz_param":"value"}' \
  https://<your-lambda-url-id>.lambda-url.<region>.on.aws/

如果按上述方式发起请求依旧报错，按以下顺序排查：

• 检查Lambda资源策略：除了给「jenkins」角色配置lambda:InvokeFunctionUrl权限外，必须在Lambda的资源基于策略中添加对应授权，允许该角色ARN调用Function URL，这是最高频的配置遗漏。
• 验证凭证身份：在Jenkins代理上执行aws sts get-caller-identity，确认当前CLI/工具获取到的凭证确实属于「jenkins」角色，而非其他身份。
• 校验签名参数：签名时指定的AWS区域、服务名（固定为lambda）必须和Lambda实际部署信息一致，参数不匹配会直接导致签名失效。
• 确认IMDS访问正常：如果EC2实例配置了IMDSv2强制模式、或者安全组/本地防火墙拦截了元数据服务的访问，工具无法获取临时凭证也会导致签名失败。

• VPC内网访问方案（安全性最高）：将Function URL的访问类型配置为「仅VPC」，绑定Jenkins代理所在的VPC，公网完全无法访问该端点，同时保留AWS_IAM认证，流量全程走AWS内网，无公网暴露风险。
• API直接调用方案（最简便）：如果Jenkins和Lambda同区域同账号，完全不需要使用Function URL，直接通过AWS CLI/SDK调用lambda:Invoke接口触发函数，走AWS内网API端点，鉴权逻辑和Function URL一致，不需要额外配置公网端点。
• 双层访问控制方案：保留公网Function URL + AWS_IAM认证，在前端套CloudFront分发，配置WAF规则仅允许Jenkins代理的公网出口IP访问，同时可配置速率限制、扫描拦截规则，进一步降低攻击面。
• 轻量认证方案：如果不想处理SigV4签名逻辑，可以将Function URL认证类型设为NONE，在Lambda代码逻辑中校验自定义请求头中的预共享密钥，密钥存储在Jenkins凭据管理器中，构建时动态注入请求头，该方案配置简单，需注意定期轮换密钥。

内容的提问来源于stack exchange，提问作者Andrey Doropey