Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

设置 Lambda@Edge 的 IAM 权限和角色

要配置 Lambda@Edge，必须设置特定的 IAM 权限和 IAM 执行角色。Lambda@Edge 还会创建一个服务相关角色，以将 Lambda 函数复制到 CloudFront 区域并允许 CloudWatch 使用 CloudFront 日志文件。

将 Lambda@Edge 函数与 CloudFront 分配关联所需的 IAM 权限

除了使用 Amazon Lambda 所需的 IAM 权限之外，用户还需要以下 IAM 权限才能将 Lambda 函数与 CloudFront 分配关联：

有关更多信息，请参阅以下文档：

服务主体的函数执行角色

您必须创建一个可由服务委托人 lambda.amazonaws.com 和 edgelambda.amazonaws.com 担任的 IAM 角色。当服务委托人执行您的函数时，由他们担任该角色。有关更多信息，请参阅 IAM 用户指南中的创建角色和附加策略（控制台）。

在 IAM 中的信任关系选项卡下添加该角色（不要将其添加在权限选项卡下）。

以下是角色信任策略的一个示例：

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "Service": [
               "lambda.amazonaws.com",
               "edgelambda.amazonaws.com"
            ]
         },
         "Action": "sts:AssumeRole"
      }
   ]
}

有关您需要向执行角色授予的权限的信息，请参阅 Amazon Lambda 开发人员指南中的管理权限：使用 IAM 角色（执行角色）。请注意以下几点：

Lambda@Edge 的服务相关角色

Lambda@Edge 使用 Amazon Identity and Access Management (IAM) 服务相关角色。服务相关角色是一种与服务直接关联的独特类型的 IAM 角色。服务相关角色是由服务预定义的，具有服务代表您调用其他 Amazon 服务所需的所有权限。

Lambda@Edge 使用以下 IAM 服务相关角色：

当您首次在 CloudFront 中添加 Lambda@Edge 触发器时，会自动创建一个名为 AWSServiceRoleForLambdaReplicator 的角色，以允许 Lambda@Edge 将函数复制到Amazon Web Services 区域。使用 Lambda@Edge 函数也需要该角色。AWSServiceRoleForLambdaReplicator 角色的 ARN 如下所示：

arn:aws:iam::123456789012:role/aws-service-role/replicator.lambda.amazonaws.com/AWSServiceRoleForLambdaReplicator

在添加 Lambda@Edge 函数关联以允许 CloudFront 将 Lambda@Edge 错误日志文件推送到 CloudWatch 时，将自动创建第二个角色（名为 AWSServiceRoleForCloudFrontLogger）。AWSServiceRoleForCloudFrontLogger 角色的 ARN 如下所示：

arn:aws:iam::account_number:role/aws-service-role/logger.cloudfront.amazonaws.com/AWSServiceRoleForCloudFrontLogger

通过使用服务相关角色，您可以更轻松地设置和使用 Lambda@Edge，因为您不必手动添加所需的权限。Lambda@Edge 定义其服务相关角色的权限，并且仅 Lambda@Edge 可以担任该角色。定义的权限包括信任策略和权限策略。不能将该权限策略附加到任何其他 IAM 实体。

您必须先删除任何关联的 CloudFront 或 Lambda@Edge 资源，然后才能删除服务相关角色。这确保您不会删除在访问活动资源时仍需要的服务相关角色，从而有助于保护您的 Lambda@Edge 资源。

有关支持服务关联的角色的其他服务的信息，请参阅与 IAM 配合使用的Amazon服务，并查找 Service-Linked Role (服务相关角色) 列为 Yes (是) 的服务。

Lambda@Edge 的服务相关角色权限

Lambda@Edge 使用两个名为 AWSServiceRoleForLambdaReplicator 和 AWSServiceRoleForCloudFrontLogger 的服务相关角色。以下部分介绍了其中的每个角色的权限。

Lambda Replicator 的服务相关角色权限

此服务相关角色允许 Lambda 将 Lambda@Edge 函数复制到Amazon Web Services 区域。

AWSServiceRoleForLambdaReplicator 服务相关角色仅信任以下服务来担任该角色：replicator.lambda.amazonaws.com

角色权限策略允许 Lambda@Edge 对指定的资源完成以下操作：

CloudFront Logger 的服务相关角色权限

该服务相关角色允许 CloudFront 将日志文件推送到 CloudWatch 账户，以帮助您调试 Lambda@Edge 验证错误。

AWSServiceRoleForCloudFrontLogger 服务相关角色仅信任以下服务来担任该角色：logger.cloudfront.amazonaws.com

角色权限策略允许 Lambda@Edge 对指定的资源完成以下操作：

您必须配置权限以允许 IAM 实体（如用户、组或角色）删除 Lambda@Edge 服务相关角色。有关更多信息，请参阅《IAM 用户指南》中的服务相关角色权限。

为 Lambda@Edge 创建服务相关角色

通常您不需要为 Lambda@Edge 手动创建服务相关角色。在以下情况下，该服务自动为您创建角色：

如果您必须手动创建这些服务相关角色，请使用 Amazon CLI 运行以下命令：

编辑 Lambda@Edge 服务相关角色

Lambda@Edge 不允许您编辑 AWSServiceRoleForLambdaReplicator 或 AWSServiceRoleForCloudFrontLogger 服务相关角色。在该服务创建服务相关角色后，您无法更改该角色的名称，因为不同的实体可能会引用该角色。不过，您可以使用 IAM 编辑角色的说明。有关更多信息，请参阅 IAM 用户指南 中的编辑服务相关角色。

CloudFront 服务相关角色支持的Amazon Web Services 区域

CloudFront 支持在以下Amazon Web Services 区域对 Lambda@Edge 使用服务相关角色：