CloudFormationでCloudWatchEvents→Lambdaの環境を作るときに気をつけたいこと

CloudWatchEventsルールでLambdaを動かす環境をCloudFormationで作った時に、関数のポリシーにSourceAccountを設定してしまったことで、Lambdaが動かずハマりました。その原因と対処方法について解説します。

#AWS CloudFormation

#CloudWatch Event Rules

#AWS Lambda

#AWS

Kitano Yuichi

2019.03.19

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

CloudWatchEventsルールでLambdaを動かす環境をCloudFormationで作っていました。

その際、Lambdaが動かずハマってしまったのでその備忘録です。

やりたかったこと

CloudWatchEventsでcron式を定義して、日次でLambdaを動かしたい！作りたかったものは、ただこれだけのシンプルな構成です。

CloudFormationテンプレートで書くとこんな感じです。（※IAM Roleは適切に設定されているものとしてください）

---
AWSTemplateFormatVersion: '2010-09-09'

Parameters:
  RoleName:
    Type: String
    Default: SampleLambdaRole

Resources:
  # まずはLambdaを定義
  Lambda:
    Type: 'AWS::Lambda::Function'
    Properties:
      Code:
        ZipFile: |
          # -- coding: utf-8 --

          import logging
          logger = logging.getLogger()
          logger.setLevel(logging.INFO)

          def lambda_handler(event, context):
            logger.info("Event: " + str(event))
      Description: LambdaSample
      FunctionName: LambdaSample
      Handler: index.lambda_handler
      MemorySize: 128
      Role: !Sub 'arn:aws:iam::${AWS::AccountId}:role/${RoleName}'
      Runtime: python3.6
      Timeout: 3
  # 次にCloudWatchEventsのルールを定義
  Rule:
    Type: 'AWS::Events::Rule'
    Properties:
      Description: sample-rule
      Name: everyday
      ScheduleExpression: 'cron(0 1 * * ? *)'
      State: ENABLED
      Targets:
        - Arn: !GetAtt Lambda.Arn
          Id: lambda
  # 最後にCloudWatchEventsからLambdaの実行を許可する
  LambdaEvent:
    Type: 'AWS::Lambda::Permission'
    Properties:
      Action: 'lambda:InvokeFunction'
      FunctionName: !Ref Lambda
      Principal: 'events.amazonaws.com'
      SourceAccount: !Ref AWS::AccountId
      SourceArn: !GetAtt Rule.Arn

一見すると正しそうなのに、時間になってもLambdaが実行されていない！なぜ！？