授权方故障排除

验证哪个 Lambda 函数与您的授权方相关联。

您可以通过调用 DescribeAuthorizerAPI 或在 Amazon IoT Core 控制台的 “安全” 部分中单击所需的授权者来执行此操作。

检查 Lambda 函数的调用指标。为此，请执行以下步骤。

1. 打开 Amazon Lambda 控制台 (https://console.aws.amazon.com/lambda/)，然后选择与您的授权者关联的功能。

2. 选择监控选项卡并查看与您的问题相关的时间范围的指标。

如果您没有看到任何调用，请验证是否 Amazon IoT Core 有权调用您的 Lambda 函数。如果您看到调用，则跳到下一步。执行以下步骤以验证 Lambda 函数是否具有所需的权限。

1. 在 Amazon Lambda 控制台中为您的函数选择 “权限” 选项卡。

2. 在页面底部找到基于资源的策略部分。如果您的 Lambda 函数具有所需的权限，则策略类似于以下示例。

   {
     "Version": "2012-10-17",
     "Id": "default",
     "Statement": [
       {
         "Sid": "Id123",
         "Effect": "Allow",
         "Principal": {
           "Service": "iot.amazonaws.com"
         },
         "Action": "lambda:InvokeFunction",
         "Resource": "arn:aws:lambda:us-east-1:111111111111:function:FunctionName",
         "Condition": {
           "ArnLike": {
             "AWS:SourceArn": "arn:aws:iot:us-east-1:111111111111:authorizer/AuthorizerName"
           },
           "StringEquals": {
             "AWS:SourceAccount": "111111111111"
           }
         }
       }
     ]
   }                      

3. 此政策将您的职能InvokeFunction权限授予 Amazon IoT Core 委托人。如果您没有看到它，则必须使用 AddPermissionAPI 进行添加。以下示例说明如何使用 Amazon CLI执行此操作。

   aws lambda add-permission --function-name FunctionName --principal iot.amazonaws.com --source-arn AuthorizerARn --statement-id Id-123 --action "lambda:InvokeFunction"

如果您看到调用，请验证没有错误。错误可能表明 Lambda 函数未正确处理 Amazon IoT Core 发送给它的连接事件。

有关在 Lambda 函数中处理事件的信息，请参阅 定义您的 Lambda 函数。您可以使用 Amazon Lambda 控制台中的测试功能 (https://console.aws.amazon.com/lambda/) 对函数中的测试值进行硬编码，以确保该函数正确处理事件。

如果您看到没有错误的调用，但您的设备无法连接（或发布、订阅和接收消息），则问题可能是 Lambda 函数返回的策略未授予设备尝试执行的操作的权限。执行以下步骤以确定函数返回的策略是否存在任何问题。

1. 使用 Amazon CloudWatch Logs Insights 查询在短时间内扫描日志，以检查是否存在故障。以下示例查询按时间戳对事件进行排序并查找失败。

   
   display clientId, eventType, status, @timestamp | sort @timestamp desc | filter status = "Failure"    
   

2. 更新您的 Lambda 函数以记录它返回的数据 Amazon IoT Core 以及触发该函数的事件。您可以使用这些日志检查函数创建的策略。

如果您看到调用并没有错误，但您的设备无法连接（或发布、订阅和接收消息），则另一个原因可能是 Lambda 函数超出了超时限制。自定义授权方的 Lambda 函数超时限制为 5 秒。您可以在 CloudWatch 日志或指标中查看函数持续时间。