使用boto3创建Lambda时报InvalidParameterValueException角色无法被假定如何解决

问题根因排查 #

1. IAM角色传播延迟（最高概率） #

IAM角色创建后存在最终一致性同步窗口，通常在1~30秒不等，你在代码里创建角色后立刻调用Lambda CreateFunction接口，此时信任策略还没有同步到Lambda服务的验证节点，就会触发你遇到的报错。

2. 低概率问题排查点 #

• 检查你当前调用接口的身份是否有iam:PassRole权限，没有该权限也可能触发类似权限验证错误
• 你代码中定义的信任策略本身符合Lambda的要求，如修改过角色配置可以到IAM控制台再次校验信任策略的正确性

修复方案 #

方案1：添加角色生效等待逻辑（推荐） #

在创建角色完成后，添加等待逻辑等待IAM角色的配置同步完成，boto3内置了IAM的waiter可以直接使用，也可以额外增加固定延迟适配最终一致性：

# 原创建角色代码不变，在获取rolearn前添加等待逻辑
waiter = iam.get_waiter('role_exists')
waiter.wait(
    RoleName=rolename,
    WaiterConfig={
        'Delay': 2,
        'MaxAttempts': 10
    }
)
# 额外加3~5秒固定延迟，保证信任策略同步完成
import time
time.sleep(5)

# 之后再调用Lambda创建函数的接口
rolearn = response_role['Role']['Arn']
response_lam = client.create_function(
    # 原有参数保持不变
)

方案2：预创建IAM角色 #

提前在IAM控制台或者单独的流程中创建好Lambda专用角色，创建Lambda函数时直接传入已存在的角色ARN，完全避开创建后的同步窗口。

方案3：添加异常重试逻辑 #

给CreateFunction调用添加指数退避重试，捕获InvalidParameterValueException中关于角色无法被假设的描述后自动重试，最多重试3~5次即可解决绝大多数同步延迟导致的报错。

内容的提问来源于stack exchange，提问作者Gurlal