使用 cdk 从账户 B 中的 lambda 调用账户 A 中的步骤函数

Question

我在帐户 A 中部署了一个 lambda 堆栈，在帐户 B 中部署了一个 stepfunction 堆栈部署程序。现在如何使用 python cdk 从 lambda 调用此 stepfunction？具体我需要给他们什么权限？

Answer 1

lambda（账户 A）分配了一个 IAM 角色（RoleA）。Step 函数（账户 B）分配了一个 IAM 角色（RoleB）。

权限

lambda 的 IAM 角色应有权承担来自（账户 B）的角色

{

  "Version": "2012-10-17",

  "Statement": [

    {

      "Effect": "Allow",

      "Action": "sts:AssumeRole",

      "Resource": "*"

    }

  ]

}

Step functions IAM 角色（角色 B）应该有一个可信策略，允许 Lambda 的 IAM 角色代入它。下面的信任策略中123456789012是账户A的账号

{

  "Version": "2012-10-17",

  "Statement": [

    {

      "Effect": "Allow",

      "Principal": {

        "AWS": [

          "arn:aws:iam::123456789012:root"

        ]

      },

      "Action": "sts:AssumeRole"

    }

  ]

}

在 lambda 内部

1. lambda 应具有从帐户 B 承担角色（角色 B）并获取临时凭证的代码

2. 使用这些凭据，lambda 应该调用 step 函数。

Answer 2

如果你想在 cdk 部署发生时触发一些东西：

似乎是一个奇怪的用例，但我认为这里的解决方案是定义自定义资源。cdk 和 cloudformation 都支持。

因为您使用的是自定义资源，所以您需要自己进一步处理创建、更新、删除事件。类似地发送完成响应，我建议您使用 cfnresponsemodule 发回完成响应，否则 cdk 将永远无法判断您的自定义资源函数何时完成。