Terraform 配置AWS Lambda异步调用destination后子函数未触发

核心前提说明 #

Lambda异步destination触发仅对异步调用（Event类型）生效，同步调用下该配置完全不会执行，所有排查优先围绕调用类型与配置有效性展开。

未覆盖的排查步骤与对应修复方案 #

1. 确认异步Invocation Type是否真的生效 #

• 你已在API Gateway集成层添加X-Amz-Invocation-Type: Event头，需验证以下两点：
  • 该头必须配置在集成请求（Integration Request）层级，而非方法请求（Method Request）层级：方法请求的头仅用于定义客户端可传入的参数，不会直接透传给Lambda后端；
  • 若使用的是HTTP API V2而非REST API，无法通过自定义头设置调用类型，需直接在API集成配置中指定InvocationType=Event。
• 验证方式：查看API Gateway的执行访问日志，确认请求发给Lambda时的调用类型为Event；或查看父Lambda的CloudWatch日志，确认调用请求的x-amz-invocation-type字段值为Event。

2. 确认event invoke config绑定的版本/别名是否与实际触发的父Lambda一致 #

• 你提供的aws_lambda_function_event_invoke_config资源未指定qualifier参数，默认绑定到父Lambda的$LATEST版本。若API Gateway实际触发的是父Lambda的生产别名（如prod）或固定版本，该配置完全不会生效。
• 修复方案：在资源中添加对应别名/版本的qualifier参数，示例：

  resource "aws_lambda_function_event_invoke_config" "lambda" {
    function_name = module.github_webhook.function_name
    qualifier     = "prod" # 替换为实际触发用的别名/版本号
    destination_config {
      on_success {
        destination = module.lambda.function_arn
      }
      on_failure {
        destination = module.lambda.function_arn
      }
    }
  }
  

3. 检查子Lambda的资源策略配置（Terraform部署最常见坑） #

• 你已确认父Lambda的IAM角色具备lambda:InvokeFunction权限，但这是调用方的权限；被调用方（子Lambda）的资源策略是独立的、未被Terraform的event invoke config自动创建的。
• 手动在控制台配置destination时，AWS会自动为子Lambda添加允许父Lambda调用的资源策略，但Terraform的aws_lambda_function_event_invoke_config不会自动处理该权限。
• 修复方案：为子Lambda添加基于资源的调用权限，允许父Lambda的服务主体异步调用，示例：

  resource "aws_lambda_permission" "invoke_by_parent" {
    statement_id  = "AllowAsyncInvokeFromParentLambda"
    action        = "lambda:InvokeFunction"
    function_name = module.lambda.function_name
    principal     = "lambda.amazonaws.com"
    source_arn    = module.github_webhook.function_arn # 父Lambda的ARN
  }
  

4. 查看父Lambda的CloudWatch日志定位投递失败原因 #

• 你仅查看了子Lambda的日志组，需优先检查父Lambda的CloudWatch日志（日志组为/aws/lambda/<父Lambda函数名>），查找异步destination投递的错误信息：
  • 若存在权限类错误（如AccessDeniedException），对应上述资源策略配置缺失问题；
  • 若存在目标ARN无效的错误，检查module.lambda.function_arn的输出是否为正确的子Lambda完整ARN（含区域、账号ID）；
  • 若存在事件大小超限的错误，对应优化父Lambda返回的事件payload大小。

5. 排除配置部署失败问题 #

• 确认Terraform apply后无对应资源的静默失败：可在AWS控制台的父Lambda配置页，查看“异步调用”标签下的destination配置是否与预期一致，避免Terraform状态与实际资源不一致的问题。

验证步骤 #

所有配置修复后，从GitHub源端重新投递webhook请求，若子Lambda仍未触发，可手动触发一次父Lambda的异步调用（指定Invocation Type为Event），验证子Lambda是否被正确调用。

内容的提问来源于stack exchange，提问作者Marshallm