部署CloudFormation模板跨区域找不到S3代码桶致Lambda创建失败求助

核心问题根因 #

你当前写死了us-west-2区域的固定S3桶名，Lambda服务部署时默认会从当前区域的S3端点拉取代码，跨区域/跨账号访问私有桶默认会被拒绝，且跨区域拉取也会有延迟和合规风险。

可行方案 #

方案1：多区域桶同步+参数化桶名（最推荐，性能最好） #

• 提前在所有需要支持部署的AWS区域创建同名规则的S3桶，桶名格式为[固定前缀]-${AWS::Region}，例如lambda-code-bucket-us-west-2、lambda-code-bucket-ap-southeast-1
• 配置S3跨区域复制规则，自动将us-west-2源桶的代码包同步到所有区域的对应桶中
• 为所有区域的桶配置桶策略，允许目标部署账号执行s3:GetObject操作
• 修改模板中S3桶配置，用CloudFormation伪参数自动匹配当前部署区域的桶

修改后的代码示例：

Resources:
  DMARCFunction:
    Type: AWS::Lambda::Function
    Properties:
      Code:
        # 自动拼接当前部署区域对应的桶名
        S3Bucket: !Sub "lambda-code-bucket-${AWS::Region}"
        S3Key: Lambda.zip
      Runtime: python3.8
      Role: !GetAtt LambdaRole.Arn
      Handler: lambda_function.lambda_handler
      Timeout: 15
      TracingConfig:
        Mode: Active

方案2：自定义资源自动拉取代码（适合不想维护多桶的场景） #

• 在模板中新增一个S3桶资源，用于在当前部署区域存储拉取过来的Lambda代码
• 新增一个极简的自定义资源Lambda，负责在部署时从us-west-2的源桶把代码包复制到当前区域的新建桶中
• 业务Lambda从当前区域的本地桶拉取代码即可

注意：需要给us-west-2的源桶配置跨账号读权限，允许自定义资源Lambda拉取代码文件

方案3：分发打包制品（适合面向外部用户分发模板的场景） #

用AWS SAM CLI将模板和代码包打包为单个部署制品，用户部署时SAM会自动将代码上传到用户当前账号当前区域的自有S3桶，无需你维护公共代码桶。

注意事项 #

• 不要直接使用跨区域S3桶地址，会触发访问限制同时增加部署耗时
• 若代码包含敏感依赖，不要给桶开启公共读，建议严格按部署账号ID配置桶策略权限

内容的提问来源于stack exchange，提问作者ASingh