跨AWS账户使用Amazon SNS触发Lambda的权限配置及最佳实践

我来帮你梳理跨账户SNS触发Lambda的权限配置细节和最佳实践，这是AWS跨账户集成里很常见的场景，一步步来：

一、Lambda侧必须配置的权限（执行角色+资源策略） #

1. Lambda执行角色的权限 #

首先，Lambda的执行角色是函数运行时用来访问其他AWS服务的身份，核心要求是：

• 信任策略必须允许Lambda服务扮演该角色（默认创建Lambda时会自动配置，信任策略里包含lambda.amazonaws.com）
• 如果你的Lambda需要处理SNS消息并访问其他服务（比如写入S3、查询DynamoDB），需要给执行角色添加对应的权限（比如s3:PutObject、dynamodb:PutItem等）
• 如果只是单纯接收并处理SNS消息内容，不需要额外权限的话，基础的Lambda执行角色权限就足够

2. Lambda资源策略（关键！） #

这是跨账户触发的核心配置——你需要给Lambda函数添加资源策略，允许另一个账户的SNS主题调用它。这个策略相当于给Lambda开个“白名单”，指定哪些外部实体可以触发它。

示例资源策略（记得替换占位符为你的实际信息）：

{
  "Version": "2012-10-17",
  "Id": "CrossAccountSNSTrigger",
  "Statement": [
    {
      "Sid": "AllowSNSFromAccountA",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::ACCOUNT-A-ID:root"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:REGION:ACCOUNT-B-ID:function:YOUR-LAMBDA-FUNCTION-NAME",
      "Condition": {
        "ArnLike": {
          "AWS:SourceArn": "arn:aws:sns:REGION:ACCOUNT-A-ID:YOUR-SNS-TOPIC-NAME"
        }
      }
    }
  ]
}

说明：

• ACCOUNT-A-ID：拥有SNS主题的AWS账户ID
• ACCOUNT-B-ID：Lambda函数所在的AWS账户ID
• REGION：两者所在的区域（如果跨区域，要分别对应各自的区域）
• YOUR-LAMBDA-FUNCTION-NAME：你的Lambda函数名称
• YOUR-SNS-TOPIC-NAME：触发Lambda的SNS主题名称

二、额外的SNS侧配置（补充说明） #

虽然你问的是Lambda侧的权限，但为了完整实现，SNS那边需要添加Lambda作为订阅者：

1. 在SNS主题的控制台，选择“订阅”，添加订阅
2. 协议选择AWS Lambda，终点填写Lambda函数的ARN（注意是跨账户的ARN）
3. 完成订阅后，Lambda会收到确认请求，需要确认（或者在Lambda资源策略配置正确的情况下，自动确认）

三、最佳实践 #

1. 遵循最小权限原则 #

绝对不要把资源策略里的Principal设为*，也不要省略Condition里的SourceArn限制——只允许指定的SNS主题调用Lambda，避免恶意或意外的触发。

2. 验证消息来源 #

在Lambda代码里添加额外的验证逻辑，检查传入消息的TopicArn是否和你预期的一致，比如：

def lambda_handler(event, context):
    expected_topic_arn = "arn:aws:sns:us-east-1:123456789012:my-topic"
    for record in event['Records']:
        if record['Sns']['TopicArn'] != expected_topic_arn:
            raise ValueError(f"Invalid SNS topic: {record['Sns']['TopicArn']}")
    # 后续处理逻辑

3. 使用IAM角色而非根用户 #

在Lambda资源策略的Principal里，尽量指定SNS账户中专门用来发布消息的IAM角色ARN，而不是根用户ARN，这样可以更精细地控制权限，避免根用户权限过度暴露。

4. 启用日志与监控 #

给Lambda配置CloudWatch日志，方便排查触发失败的问题；同时可以设置CloudWatch告警，监控Lambda的调用错误率，及时发现异常。

5. 定期审查权限 #

定期检查Lambda的资源策略和执行角色权限，移除不再需要的权限条目，避免权限膨胀带来的安全风险。

6. 跨区域场景注意事项 #

如果SNS和Lambda在不同区域，要确保资源策略里的ARN区域正确，同时注意跨区域调用的延迟和额外费用，尽量优先选择同区域部署。

内容的提问来源于stack exchange，提问作者user6438693