AWS Lambda渲染Python版IAM策略模板时lambda_handler触发参数错误

报错的本质是对Lambda的入参逻辑有误解：线上运行时，AWS的runtime只会固定给处理函数传两个参数——封装了所有触发参数的event字典、带运行元数据的context对象。本地测试时直接把region、instance_type这些业务参数当关键字传给lambda_handler，而函数定义里根本没声明这些参数，自然会抛出未预期关键字的TypeError。

1. 模板定义模块 meta_templates.py #

统一维护所有带Jinja占位符的IAM策略元结构，用名称映射方便后续按需求调取：

# 内置EC2权限策略模板，占位符直接嵌入结构中
ec2_policy_meta_template = {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["ec2:RunInstances", "ec2:CreateVolume"],
            "Resource": "arn:aws:ec2:{{ region }}::*",
            "Condition": {
                "StringEquals": {
                    "ec2:InstanceType": "{{ instance_type }}"
                },
                "NumericEquals": {
                    "ec2:VolumeSize": "{{ ebs_volume_size }}"
                },
                "DateGreaterThanEquals": {
                    "aws:CurrentTime": "{{ start_time }}"
                },
                "DateLessThanEquals": {
                    "aws:CurrentTime": "{{ end_time }}"
                }
            }
        }
    ]
}

# 模板名称到实体的注册映射
TEMPLATE_REGISTRY = {
    "ec2_policy": ec2_policy_meta_template
}

2. 处理逻辑模块 template_utils.py #

严格遵守Lambda的函数签名约定，从event字典中提取业务参数完成渲染流程：

import json
from jinja2 import Template
from meta_templates import TEMPLATE_REGISTRY

def lambda_handler(event, context):
    # 提前校验必要参数，避免后续渲染出现无意义的报错
    required_fields = [
        "region", "instance_type", "ebs_volume_size",
        "meta_template_name", "start_time", "end_time"
    ]
    missing_fields = [field for field in required_fields if field not in event]
    if missing_fields:
        raise ValueError(f"入参缺失: {', '.join(missing_fields)}")

    # 按名称加载对应策略模板
    target_template = TEMPLATE_REGISTRY.get(event["meta_template_name"])
    if not target_template:
        raise ValueError(f"未匹配到模板: {event['meta_template_name']}")

    # 序列化模板结构后执行Jinja占位符替换
    template_content = json.dumps(target_template)
    rendered_policy = Template(template_content).render(**event)

    # 返回结构化的合法IAM策略JSON，避免转义字符问题
    return json.loads(rendered_policy)

不要直接把业务参数拆成关键字传给handler，要模拟Lambda运行时的入参结构，把所有业务参数封装到event字典里，context参数本地测试可以直接传None：

# 写在template_utils.py底部，本地执行时自动运行测试
if __name__ == "__main__":
    # 模拟线上传入的event结构
    mock_event = {
        "region": "us-east-1",
        "instance_type": "t3.large",
        "ebs_volume_size": 50,
        "meta_template_name": "ec2_policy",
        "start_time": "2024-06-01T00:00:00Z",
        "end_time": "2024-06-30T23:59:59Z"
    }
    # 调用时严格按照函数签名传参
    policy_result = lambda_handler(event=mock_event, context=None)
    print(json.dumps(policy_result, indent=2))

开发注意事项 #

• 绝对不要修改lambda_handler的函数签名，不管是线上部署还是本地测试，函数参数必须固定为event、context两个，否则线上runtime会直接调用失败。
• 本地测试如果需要更贴近线上环境，可以用AWS SAM CLI的本地调用功能，本质也是自动帮你把传入的参数封装成符合格式的event对象，不需要手动传递业务关键字参数。
• 渲染完成后建议把字符串转回JSON结构返回，避免返回的策略是带转义字符的纯文本，不符合IAM策略的格式要求。

内容的提问来源于stack exchange，提问作者Pranay Singh Parihar