无法从 lambda（VPC 内）访问 SecretsManager（已解决）

Question

编辑： 我什么也没做，但错误消失了。我猜想我需要等待更长的时间才能在 AWS 内部设置 VPC 端点中的某些内容，但老实说我不知道。这就是AWS的神秘之处。

我一直在尝试让数据库连接在我的 lambda 中工作，并且从秘密管理器检索我的密码时经历了最糟糕的时间。

当我运行 lambda 时，我得到了

User: arn:aws:sts::#####:assumed-role/consent-gen/consent-gen is not authorized to perform: secretsmanager:GetSecretValue because no identity-based policy allows the secretsmanager:GetSecretValue action

除了控制台告诉我我有权限之外，策略模拟器还告诉我我有访问权限

虽然 lambda 位于 VPC 中，但它位于私有子网中

我在同一个 vpc/子网中设置了一个用于秘密管理器的 VPC 端点

设置安全组以允许来自我所在 VPC 的入站流量

我现在很茫然，有其他人经历过吗？

Answer 1

我会检查以下内容：

• 检查以确保您的密钥没有附加资源权限，或者资源权限允许您的 lambda 角色检索密钥
• 检查以确保没有 SCP 阻止您检索秘密
• 验证附加到您的 lambda 的角色是否符合您的预期
• 检查您的 lambda 所承担的角色是否具有对加密密钥的 KMS 密钥的权限。我过去见过一些误导性错误，最终导致 kms 密钥权限错误。