AWS Kinesis Firehose调用Lambda转换失败，请求权限配置建议

我之前踩过完全一样的坑，一开始也以为只给lambda:InvokeFunction权限就够了，结果折腾了半天才找到问题所在。下面是我排查和解决的核心步骤，你可以逐一验证：

1. 检查Lambda函数的资源策略（最容易忽略的关键点） #

哪怕你的Firehose IAM角色已经有了lambda:InvokeFunction权限，如果Lambda函数本身没配置资源策略允许Firehose角色调用它，照样会触发权限拒绝。

你可以通过控制台或AWS CLI来配置这个策略：

• 控制台操作路径：打开目标Lambda函数 → 配置 → 权限 → 资源策略 → 添加权限
• 选择「AWS服务」作为实体类型，指定「Kinesis Firehose」为服务，或者直接把Firehose角色的ARN设为主体，授予lambda:InvokeFunction权限。

用CLI配置的命令示例：

aws lambda add-permission \
  --function-name your-lambda-function-name \
  --statement-id firehose-invoke-permission \
  --action "lambda:InvokeFunction" \
  --principal firehose.amazonaws.com \
  --source-arn arn:aws:firehose:your-region:your-account-id:deliverystream/your-firehose-name

2. 确认Firehose角色自定义策略的资源ARN是否精准 #

有时候自定义策略里的Lambda ARN容易写错，比如漏了区域、账号ID，或者没包含函数的版本/别名（如果你的Firehose配置了调用特定版本的话）。

正确的Lambda资源ARN格式：
arn:aws:lambda:your-region:your-account-id:function:your-lambda-function-name
如果指定了版本或别名，要加上后缀，比如：
arn:aws:lambda:us-east-1:123456789012:function:my-transformer:prod

你的自定义策略应该类似这样：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:your-region:your-account-id:function:your-lambda-function-name"
    }
  ]
}

3. 验证是否需要额外权限（极少数场景） #

在一些特殊配置下，Firehose可能需要额外的Lambda权限：

• 如果你的Lambda配置了预留并发，Firehose可能需要lambda:GetFunctionConcurrency权限来检查并发配额
• 如果Firehose需要验证Lambda函数的存在性，可能需要lambda:GetFunction权限

你可以先把这两个权限临时加入自定义策略测试，如果问题解决了再保留：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:InvokeFunction",
        "lambda:GetFunction",
        "lambda:GetFunctionConcurrency"
      ],
      "Resource": "arn:aws:lambda:your-region:your-account-id:function:your-lambda-function-name"
    }
  ]
}

快速排查小技巧 #

打开AWS CloudTrail，搜索Firehose角色的调用记录，找到Lambda相关的API调用事件，里面会明确标注拒绝原因——是权限缺失还是资源ARN不匹配，比Access Advisor的信息精准得多。

内容的提问来源于stack exchange，提问作者paulmdavies