如何通过AWS Chatbot从Slack自动调用AWS Lambda 绕过二次确认无需人工干预

结论 #

AWS Chatbot的操作二次确认是官方默认的安全机制，无公开的直接绕过配置项，可通过以下三种方案实现全流程自动化：

方案1：直接移除流程中的AWS Chatbot依赖 #

• 你现有流程已经可以通过私有通道触发Lambda，可将原本计划通过AWS Chatbot执行的操作，直接在Lambda中通过AWS SDK实现，全程不需要调用Chatbot，自然不会产生二次确认提示。
• 权限安全和原设计逻辑一致：给Lambda分配最小权限的IAM执行角色，仅开放你需要操作的AWS服务权限，比通过Chatbot下发命令的权限控制粒度更细。
• 示例：如果原本要通过Chatbot执行EC2实例启动命令aws ec2 start-instances --instance-ids i-xxx，直接在Lambda中用对应语言的SDK调用即可，Python示例：

import boto3
ec2 = boto3.client('ec2')
response = ec2.start_instances(InstanceIds=['i-xxx'])

方案2：配置Chatbot免确认权限（仅适用于必须保留Chatbot的场景） #

• 你可以给AWS Chatbot关联的IAM角色添加自定义权限策略，开放特定命令组的免确认执行权限，配置后对应命令的操作不会再弹出确认提示。
• 参考权限策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "awschatbot:RunCommandWithoutConfirmation",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "awschatbot:CommandGroup": "ec2"
                }
            }
        }
    ]
}

• 注意：该配置仅对AWS Chatbot v1.6及以上版本生效，可通过调整CommandGroup的取值限制免确认的命令范围，避免权限过度开放。

方案3：Slack侧自动确认提示 #

• 无需修改现有AWS侧流程，新增一个轻量Lambda监听Chatbot发送确认提示的Slack通道，当识别到符合前置审批规则的确认消息时，自动调用Slack API触发确认操作。
• 需给辅助Lambda分配对应Slack通道的消息读取、交互权限，同时添加严格的匹配规则，仅确认已经过前置审批的操作，避免误确认风险。

内容的提问来源于stack exchange，提问作者Hemanth