授权方故障排除

验证哪个 Lambda 函数与您的授权方相关联。

你可以通过致电来做到这一点 DescribeAuthorizer API 或者在中单击所需的授权方 安全 的部分 Amazon IoT Core 控制台。

检查 Lambda 函数的调用指标。为此，请执行以下步骤。

1. 打开 Amazon Lambda 控制台（https://console.aws.amazon.com/lambda/），然后选择与您的授权者关联的函数。

2. 选择监控选项卡并查看与您的问题相关的时间范围的指标。

如果您没有看到任何调用，请验证一下 Amazon IoT Core 有权调用您的 Lambda 函数。如果您看到调用，则跳到下一步。执行以下步骤以验证 Lambda 函数是否具有所需的权限。

1. 选择 权限 在 “函数” 选项卡中 Amazon Lambda 控制台。

2. 找到 Resource-based 政策 页面底部的部分。如果您的 Lambda 函数具有所需的权限，则策略类似于以下示例。

   {
     "Version":"2012-10-17",
     "Id": "default",
     "Statement": [
       {
         "Sid": "Id123",
         "Effect": "Allow",
         "Principal": {
           "Service": "iot.amazonaws.com"
         },
         "Action": "lambda:InvokeFunction",
         "Resource": "arn:aws:lambda:us-east-1:111111111111:function:FunctionName",
         "Condition": {
           "ArnLike": {
             "AWS:SourceArn": "arn:aws:iot:us-east-1:111111111111:authorizer/AuthorizerName"
           },
           "StringEquals": {
             "AWS:SourceAccount": "111111111111"
           }
         }
       }
     ]
   }                      
   

3. 该政策授予 InvokeFunction 对您的函数的权限 Amazon IoT Core 校长。如果您看不到，则必须使用以下方法进行添加 AddPermission API。以下示例说明如何使用 Amazon CLI执行此操作。

   aws lambda add-permission --function-name FunctionName --principal iot.amazonaws.com --source-arn AuthorizerARn --statement-id Id-123 --action "lambda:InvokeFunction"

如果您看到调用，请验证没有错误。错误可能表明 Lambda 函数未正确处理连接事件 Amazon IoT Core 发送给它。

有关在 Lambda 函数中处理事件的信息，请参阅 定义您的 Lambda 函数。你可以在中使用测试功能 Amazon Lambda 控制台（https://console.aws.amazon.com/lambda/) 对函数中的测试值进行硬编码，以确保该函数正确处理事件。

如果您看到没有错误的调用，但您的设备无法连接（或发布、订阅和接收消息），则问题可能是 Lambda 函数返回的策略未授予设备尝试执行的操作的权限。执行以下步骤以确定函数返回的策略是否存在任何问题。

1. 使用亚马逊 CloudWatch Logs Insights 查询可在短时间内扫描日志以检查是否存在故障。以下示例查询按时间戳对事件进行排序并查找失败。

   
   display clientId, eventType, status, @timestamp | sort @timestamp desc | filter status = "Failure"    
   

2. 更新您的 Lambda 函数以记录其返回的数据 Amazon IoT Core 以及触发该函数的事件。您可以使用这些日志检查函数创建的策略。

如果您看到调用并没有错误，但您的设备无法连接（或发布、订阅和接收消息），则另一个原因可能是 Lambda 函数超出了超时限制。自定义授权方的 Lambda 函数超时限制为 5 秒。你可以在里面查看函数的持续时间 CloudWatch 日志或指标。