如何导入现有IAM角色访问S3桶及CDK配置S3触发Lambda转换JSON为CSV

1. 导入现有IAM角色访问S3桶的操作 #

你可以通过iam.Role.from_role_arn方法导入账户下已有的IAM角色，示例如下：

# 先导入iam模块
from aws_cdk import aws_iam as iam

# 导入现有角色，替换为你实际的角色ARN
existing_role = iam.Role.from_role_arn(
    self, 
    "existing-role",
    role_arn="arn:aws:iam::你的账户ID:role/你的角色名"
)

# 给角色绑定S3访问权限，示例为授予源桶读权限、目标桶写权限
bucket_source.grant_read(existing_role)
bucket_dest.grant_write(existing_role)

如果要将该角色绑定到Lambda上，直接在Lambda的定义参数中添加role=existing_role即可。

2. 现有CDK代码需要调整的点 #

• 环境变量配置错误：当前Lambda环境变量中output_bucket写死为固定字符串bucket_source1，实际应该替换为目标桶的动态属性，改为"output_bucket": bucket_dest.bucket_name，避免Lambda运行时找不到目标桶。
• IAM权限缺失：当前代码没有给Lambda配置S3访问权限，需要补充两行配置，CDK会自动生成对应的IAM策略：

  # 给Lambda授予源桶读权限
  bucket_source.grant_read(lambdaFn)
  # 给Lambda授予目标桶写权限
  bucket_dest.grant_write(lambdaFn)
  

  另外S3触发Lambda的调用权限CDK会在你添加通知的时候自动配置，不需要额外手动设置。
• 注释与实际逻辑不符：你添加触发器的注释写的是「仅为.csv文件添加创建事件」，但实际配置的过滤后缀是.json，建议修正注释避免后续维护混淆。
• 语法缺失：当前add_object_created_notification方法缺少闭合的右括号，运行时会报语法错误，需要补充。
• 如果使用已有S3桶需调整导入方式：如果你不需要新建S3桶，而是要使用已经存在的桶，不要用s3.Bucket直接创建，改为和导入ECR仓库一致的逻辑，用s3.Bucket.from_bucket_name导入现有桶即可。

修正后完整代码示例 #

from aws_cdk import (
    aws_s3 as s3,
    aws_lambda as _lambda,
    aws_ecr as _ecr,
    aws_s3_deployment as s3deploy,
    aws_s3_notifications as s3_notify,
    aws_iam as iam,
    core as cdk
)
from aws_cdk import core

class MyClass(core.Stack):

    def __init__(self, scope: core.Construct, construct_id: str, **kwargs) -> None:
        super().__init__(scope, construct_id, **kwargs)

        # 创建/导入S3桶，如需导入现有桶取消注释下方代码，替换为实际桶名
        # bucket_source = s3.Bucket.from_bucket_name(self, "bucket_source", "你的源桶名")
        # bucket_dest = s3.Bucket.from_bucket_name(self, "bucket_dest", "你的目标桶名")
        bucket_source = s3.Bucket(self, "bucket_source")
        bucket_dest = s3.Bucket(self, "bucket_dest")

        s3deploy.BucketDeployment(self, "CreatingDir",
            sources=[s3deploy.Source.asset("./lambdatestout2")],
            destination_bucket=bucket_dest,
            destination_key_prefix="output"
        )
        
        # 导入现有IAM角色，不需要的话可以删除这段
        existing_role = iam.Role.from_role_arn(
            self, 
            "existing-role",
            role_arn="arn:aws:iam::你的账户ID:role/你的角色名"
        )
        
        repo = _ecr.Repository.from_repository_name(self, "Repository", repository_name="myrepo")
        lambdaFn = _lambda.DockerImageFunction(
            self, "My Function",
            code=_lambda.DockerImageCode.from_ecr(
                repository=repo,
                tag="convert"
            ),
            timeout=cdk.Duration.seconds(600),
            memory_size=1024,
            # 如果使用导入的现有角色，放开下方的role参数
            # role=existing_role,
            environment={
                    "dest_file_format":"csv",
                    "output_bucket": bucket_dest.bucket_name,
                    "prefix":"output"
               }
        )
        # 给Lambda添加S3访问权限
        bucket_source.grant_read(lambdaFn)
        bucket_dest.grant_write(lambdaFn)
        
        # Create trigger for Lambda function using suffix for .json files
        notification = s3_notify.LambdaDestination(lambdaFn)
        notification.bind(self, bucket_source)
        # Add Create Event only for .json files
        bucket_source.add_object_created_notification(
            notification, 
            s3.NotificationKeyFilter(suffix='.json')
        )

内容的提问来源于stack exchange，提问作者San