AWS Lambda能否跨区域访问S3？跨区域访问报错及迁移咨询

一、报错原因确认 #

没错，这个AuthorizationHeaderMalformed报错完全是跨区域访问不规范导致的。

原理是这样的：你的Lambda部署在us-east-1区域，当它调用S3的GetObject接口时，如果没有明确指定S3桶所在的eu-central-1区域，AWS SDK会默认使用Lambda所在的us-east-1区域生成请求签名。但S3桶实际在eu-central-1，它会校验请求签名里的区域信息，发现和自身区域不匹配，就会抛出这个“授权头格式错误，区域不匹配”的提示。

这里要说明下，你的IAM角色已经配置了AmazonS3FullAccess，权限是足够的，问题根本不在权限上，就是区域签名不匹配的问题。

二、能否迁移Lambda函数？ #

当然可以迁移，而且这是解决跨区域问题的最优方案之一（同区域访问S3还能减少延迟和跨区域数据传输费用）。迁移的大致步骤如下：

• 先导出当前us-east-1区域Lambda函数的代码包、配置信息（包括环境变量、触发器、内存/超时设置等）
• 登录AWS控制台切换到eu-central-1区域，创建新的Lambda函数，导入刚才导出的代码和配置，复用原有的IAM角色（只要角色的信任策略允许eu-central-1的Lambda服务调用即可，一般默认是允许所有区域的）
• 测试新Lambda函数的GetObject操作，此时Lambda和S3桶在同一区域，签名区域会自动匹配，报错就会消失
• 确认新函数正常运行后，就可以停用或删除原us-east-1的Lambda函数了

三、另一种无需迁移的解决方案 #

如果你暂时不想迁移Lambda，也可以通过修改代码解决：在Lambda中调用S3接口时，明确指定S3桶所在的eu-central-1区域。

举个Python的boto3示例：

import boto3

def lambda_handler(event, context):
    # 初始化S3客户端时指定正确的区域
    s3 = boto3.client('s3', region_name='eu-central-1')
    # 执行GetObject操作
    response = s3.get_object(Bucket='your-bucket-name', Key='your-zip-file-key')
    # 后续处理逻辑...

这样即使Lambda在us-east-1，生成的请求签名也会使用eu-central-1区域，和S3桶的区域匹配，就能正常访问了。

内容的提问来源于stack exchange，提问作者Martin Thoma