Lambda通过GSI查询DynamoDB表失败，CloudFormation权限配置求助

我来帮你搞定这个Lambda查询DynamoDB全局二级索引（GSI）的权限问题——这种坑在CloudFormation配置里太常见了，完全不用手动去控制台改权限，只要调整CFN里的IAM策略就能合规解决。

核心问题分析 #

你遇到的报错本质是：虽然给Lambda配置了访问DynamoDB表的基础权限，但GSI作为独立资源，默认的表权限并不自动覆盖针对它的Query操作，必须在IAM策略里明确授权。

1. 修正Lambda的IAM权限策略 #

在CloudFormation的Lambda执行角色中，需要把GSI的ARN明确加入资源列表，同时授权dynamodb:Query操作。

正确的策略示例（YAML格式） #

LambdaExecutionRole:
  Type: AWS::IAM::Role
  Properties:
    AssumeRolePolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Principal:
            Service: lambda.amazonaws.com
          Action: sts:AssumeRole
    Policies:
      - PolicyName: DynamoDBGSIAccessPolicy
        PolicyDocument:
          Version: '2012-10-17'
          Statement:
            - Effect: Allow
              Action:
                - dynamodb:Query
              Resource:
                # 首先包含DynamoDB表的ARN
                - !Sub 'arn:aws:dynamodb:${AWS::Region}:${AWS::AccountId}:table/${XXXTable}'
                # 重点：加上GSI的ARN，格式为表ARN + /index/[你的GSI名称]
                - !Sub 'arn:aws:dynamodb:${AWS::Region}:${AWS::AccountId}:table/${XXXTable}/index/YourGSIName'
            # 必须保留的Lambda日志权限，避免额外报错
            - Effect: Allow
              Action:
                - logs:CreateLogGroup
                - logs:CreateLogStream
                - logs:PutLogEvents
              Resource: 'arn:aws:logs:*:*:*'

关键注意事项：

• 替换YourGSIName为你在DynamoDB表定义中设置的GSI名称（比如UserEmailIndex）
• 如果你的Lambda还需要其他DynamoDB操作（比如Scan、GetItem），可以把对应的Action补充到列表里

2. 确认DynamoDB表的GSI定义正确 #

确保你的XXXTable资源中GSI的名称和权限策略里的完全一致，示例配置如下：

XXXTable:
  Type: AWS::DynamoDB::Table
  Properties:
    TableName: XXXTable
    AttributeDefinitions:
      - AttributeName: Id
        AttributeType: S
      - AttributeName: Email # GSI的分区键
        AttributeType: S
    KeySchema:
      - AttributeName: Id
        KeyType: HASH
    GlobalSecondaryIndexes:
      - IndexName: YourGSIName # 这里的名称必须和权限策略里的完全匹配
        KeySchema:
          - AttributeName: Email
            KeyType: HASH
        Projection:
          ProjectionType: ALL
        ProvisionedThroughput:
          ReadCapacityUnits: 5
          WriteCapacityUnits: 5

3. 验证Lambda代码的查询参数 #

除了权限，还要确认代码里调用Query时指定了正确的IndexName，比如Node.js示例：

const AWS = require('aws-sdk');
const dynamodb = new AWS.DynamoDB.DocumentClient();

exports.handler = async (event) => {
  const params = {
    TableName: 'XXXTable',
    IndexName: 'YourGSIName', // 必须和CFN定义的GSI名称一致
    KeyConditionExpression: 'Email = :email',
    ExpressionAttributeValues: {
      ':email': 'user@example.com'
    }
  };
  
  try {
    const result = await dynamodb.query(params).promise();
    return result.Items;
  } catch (error) {
    console.error('查询GSI出错:', error);
    throw error;
  }
};

4. 部署验证 #

完成上述配置后，重新部署你的CloudFormation模板：

• 用CLI命令：aws cloudformation deploy --template-file your-template.yml --stack-name your-stack-name
• 或者在AWS控制台的CloudFormation服务中更新栈

部署完成后测试Lambda函数，就能正常查询GSI了，全程不用手动修改控制台权限，完全符合合规要求。

内容的提问来源于stack exchange，提问作者user1974753