Firehose配置Lambda转换遇InvokeAccessDenied，IAM配置是否正确？

我帮你一步步排查这个Firehose Lambda转换失败的问题——这种情况Lambda没调用记录，大概率是请求根本没到达Lambda，先从最容易出错的IAM配置入手，再看其他可能性：

一、先核对IAM的核心配置（90%的问题出在这里） #

首先明确：Firehose调用Lambda需要双向权限配置，你提到的给Firehose的IAM角色只是其中一端，还有Lambda侧的权限容易被忽略：

1. Firehose执行角色的信任策略
   你说已经授予Firehosests:AssumeRole权限，一定要确认信任策略里的ExternalId是否和你的Firehose交付流ARN完全一致，这是很多人踩的坑。正确的信任策略示例：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "firehose.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "arn:aws:firehose:us-east-1:123456789012:deliverystream/MyFirehoseStream"
           }
         }
       }
     ]
   }
   

   没有这个ExternalId或者写错的话，Firehose根本无法AssumeRole，自然发不出调用请求。

2. Firehose执行角色的权限策略
   确保策略里明确允许调用目标Lambda的lambda:InvokeFunction动作，最好指定具体的Lambda ARN（避免通配符带来的潜在问题）：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "lambda:InvokeFunction",
         "Resource": "arn:aws:lambda:us-east-1:123456789012:function:MyTransformationLambda"
       }
     ]
   }
   

3. Lambda的资源策略（最容易被忽略的点）
   除了Firehose有权限调用，Lambda必须明确允许Firehose作为调用者！你需要给Lambda添加资源策略，示例如下：

   {
     "Version": "2012-10-17",
     "Id": "default",
     "Statement": [
       {
         "Sid": "AllowFirehoseInvoke",
         "Effect": "Allow",
         "Principal": {
           "Service": "firehose.amazonaws.com"
         },
         "Action": "lambda:InvokeFunction",
         "Resource": "arn:aws:lambda:us-east-1:123456789012:function:MyTransformationLambda",
         "Condition": {
           "StringEquals": {
             "AWS:SourceAccount": "123456789012"
           },
           "ArnLike": {
             "AWS:SourceArn": "arn:aws:firehose:us-east-1:123456789012:deliverystream/MyFirehoseStream"
           }
         }
       }
     ]
   }
   

   没有这个策略的话，即使Firehose的角色权限齐全，Lambda也会直接拒绝请求，而且不会留下调用记录。

二、非IAM的常见排查点 #

如果IAM配置都没问题，再看这些可能性：

• Lambda本身的兼容性：Firehose要求Lambda返回特定格式的响应（包含records数组，每个元素要有recordId、result（如Ok）和data字段）。先手动测试Lambda，用模拟的Firehose输入事件（比如Base64编码的测试数据），确认Lambda能正常返回符合要求的结果。如果Lambda执行报错，Firehose可能不会生成调用记录。
• Firehose配置错误：检查Firehose交付流里指定的Lambda ARN是否正确（区域、函数名、版本/别名都要匹配），确认“Lambda转换”功能已经启用。
• CloudTrail日志排查：开启CloudTrail后，搜索lambda:InvokeFunction或sts:AssumeRole事件，看有没有失败的请求记录——比如AccessDenied错误，能直接告诉你是哪个权限环节出了问题。
• IAM权限延迟：AWS IAM权限有时候需要5-10分钟才能完全生效，如果你刚修改完配置，先等一会儿再测试。

快速排查顺序 #

1. 确认Lambda的资源策略是否存在且配置正确
2. 核对Firehose角色信任策略里的ExternalId是否匹配Firehose ARN
3. 手动测试Lambda的输入输出格式
4. 查看CloudTrail的错误日志

内容的提问来源于stack exchange，提问作者Nathan Brown