关于为AWS Lambda配置RDS只读权限的技术问询

让我一步步帮你理清这些疑问：

1. 直接复制AmazonRDSReadOnlyAccess内容到自定义角色是否正确？ #

从权限生效的角度来说，这么做确实能让Lambda获得RDS只读权限，但并不推荐：

• 托管策略（比如AmazonRDSReadOnlyAccess）会由AWS自动更新，比如新增了RDS只读相关的操作时，托管策略会同步调整；但你复制到自定义策略里的内容是静态的，不会自动更新，后续可能会漏掉新的必要权限。
• 你提到自定义角色默认包含日志权限（比如CloudWatch Logs相关），正确的做法应该是在自定义角色中直接附加AmazonRDSReadOnlyAccess托管策略，同时保留原有日志相关的权限（比如AWSLambdaBasicExecutionRole托管策略），这样既不用复制粘贴，又能享受托管策略的自动更新，还能保证Lambda正常输出日志。

2. 这样操作能否实现仅读取特定RDS实例？ #

答案是不能。不管是直接附加AmazonRDSReadOnlyAccess，还是复制它的内容到自定义策略，这个托管策略的资源范围是*，也就是允许访问所有RDS实例的只读操作。如果要限制到特定RDS实例，必须自定义IAM策略，缩小资源范围到目标实例的ARN。

3. 有没有更简便的实现方法？ #

因为Lambda的角色模板里没有现成的“RDS只读”模板，最简便且符合最小权限原则的方法是：

• 第一步：创建Lambda角色时，选择“自定义信任策略”，确保信任关系允许Lambda服务扮演该角色（默认的Lambda角色信任策略就可以）。
• 第二步：给这个角色附加AWSLambdaBasicExecutionRole托管策略，保证Lambda能正常写入CloudWatch Logs。
• 第三步：创建一个自定义只读策略，仅允许访问你的特定RDS实例，示例如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rds:DescribeDBInstances",
                "rds:DescribeDBClusters",
                "rds:ListTagsForResource",
                "rds:DescribeDBParameters",
                "rds:DescribeDBLogFiles",
                "rds:DownloadDBLogFilePortion"
                // 可以参考AmazonRDSReadOnlyAccess里的Action列表，只保留你实际需要的操作
            ],
            "Resource": "arn:aws:rds:你的区域:你的账号ID:db:你的RDS实例名"
        }
    ]
}

• 第四步：把这个自定义策略附加到你的Lambda角色上。

另外要注意：如果你的RDS实例在VPC内，Lambda需要配置VPC访问权限（添加对应的安全组和子网），才能连通RDS；如果RDS是公网可访问的，要确保Lambda的安全组能访问RDS的端口（比如3306、5432等）。

内容的提问来源于stack exchange，提问作者user190528