Кросс-аккаунт Lambda Call никогда не удается

У меня есть центральная учетная запись Tooling, которая содержит конвейер развертывания и другую учетную запись ("этап"), на которой развернуто приложение. Одним из шагов в конвейере является миграция базы данных с помощью лямбда-функции в промежуточной учетной записи. Функция вызывается, но она приводит к ошибке, потому что она не может получить доступ к кодовой линии, и этап в конвейере переходит в тайм-аут через ~20 минут. Сообщение об ошибке в конвейере указывает на то, что лямбда-функция не вызывает PutJobSuccessResult/ PutJobFailureResult или функция не имеет права.

Функция вызывает эти функции, но, похоже, у нее нет прав доступа к кодовой линии в учетной записи инструмента.

Это политики, которые привязаны к Lambda и Codepipeline:

Lambda:

...,{
        "Action": [
            "codepipeline:PutJobSuccessResult",
            "codepipeline:PutJobFailureResult"
        ],
        "Effect": "Allow",
        "Resource": [
          "*",
          "${var.pipelineArn}"
        ]
    },...

И Codepipeline:

..., {
  "Effect": "Allow",
  "Action": [
    "codepipeline:*",
    "iam:ListRoles",
    "cloudformation:Describe*",
    "cloudFormation:List*",
    "codecommit:List*",
    "codecommit:Get*",
    "codecommit:GitPull",
    "codecommit:UploadArchive",
    "codecommit:CancelUploadArchive",
    "codebuild:BatchGetBuilds",
    "codebuild:StartBuild",
    "cloudformation:CreateStack",
    "cloudformation:DeleteStack",
    "cloudformation:DescribeStacks",
    "cloudformation:UpdateStack",
    "cloudformation:CreateChangeSet",
    "cloudformation:DeleteChangeSet",
    "cloudformation:DescribeChangeSet",
    "cloudformation:ExecuteChangeSet",
    "cloudformation:SetStackPolicy",
    "cloudformation:ValidateTemplate",
    "iam:PassRole",
    "s3:ListAllMyBuckets",
    "s3:GetBucketLocation"
  ],
  "Resource": "*"
}, ...

Есть идеи о том, чего не хватает? Я предполагаю, что мне нужно где-то добавить Принцип, но я не знаю, где...

Источник

2 ответа

Решение

В настоящее время нет способа предоставить доступ к Codepipeline на основе ресурсов. В моем случае мне пришлось изменить лямбда-функцию внутри промежуточной учетной записи. Функция должна была взять на себя роль учетной записи инструментария, чтобы иметь доступ к кодовой линии.

Источник

Возможно, вам придется взять на себя роль кросс-аккаунта в Lambda, чтобы получить доступ к ресурсам Code Pipeline. По сути, лямбда будет выглядеть так, как будто она работает в учетной записи инструмента.

Проверьте это для некоторой справочной информации о том, как это работает и как настроить политики: Доступ к нескольким учетным записям

Затем в вашей лямбде вам нужно будет вызвать STS:AssumeRole, чтобы получить учетные данные из другой учетной записи. Например, если вы используете Python, вы можете использовать boto3 sts.assume_role() вызов.

Надеюсь, это поможет:)

Источник
Другие вопросы по тегам