Serverless Framework如何使用预定义角色解决无IAM创建权限部署问题

完全可以使用预先创建好的IAM角色替代部署时自动新建角色的逻辑，同时可通过预创建日志组解决配套的资源创建失败问题，具体配置方法如下：

1. 提前准备符合要求的IAM角色 #

在AWS IAM控制台提前创建Lambda执行角色，需要满足两个基础条件：

• 信任实体设置为lambda.amazonaws.com，允许Lambda服务代入该角色
• 权限配置覆盖业务所需的最小范围，基础权限至少包含Lambda执行权限、CloudWatch日志写入权限，以及你的业务场景需要的其他权限（如定时触发器权限、云服务访问权限等）

2. 配置serverless.yml指定预创建角色 #

可根据需求选择全局统一配置或单函数单独配置：

全局所有函数共用同一个角色 #

在provider配置块下添加role字段，值为预创建角色的完整ARN：

service: my-project

provider:
  name: aws
  runtime: nodejs18.x # 替换为你的实际运行环境
  region: sa-east-1 # 替换为你的实际部署区域
  # 全局指定预创建的IAM角色ARN
  role: arn:aws:iam::xxxxxx:role/你预先创建的角色名称

配置后Serverless Framework部署时会跳过自动创建IAM角色的步骤，所有函数默认使用该指定角色。

单个函数单独指定专属角色 #

如果不同函数需要不同权限的角色，可在对应函数的配置块下单独添加role字段：

functions:
  hello:
    handler: handler.hello
    # 为当前函数单独指定预创建角色ARN
    role: arn:aws:iam::xxxxxx:role/hello函数专属角色名
  scheduledTask:
    handler: scheduler.task
    role: arn:aws:iam::xxxxxx:role/定时任务专属角色名

3. 可选配置：解决日志组创建失败问题 #

你的报错中同时存在CloudWatch日志组创建失败的问题，如果部署账号没有日志组创建权限，可添加如下配置禁用自动创建日志组，提前在CloudWatch控制台建好对应日志组即可：

provider:
  logs:
    lambda:
      # 禁用自动创建Lambda日志组
      createLogGroup: false

预创建日志组的命名规范为：/aws/lambda/<服务名>-<部署阶段>-<函数名>

内容的提问来源于stack exchange，提问作者Eduardo Ito