Amazon EventBridge Scheduler を AWS CDK で構成する際に “Resolution error: All principals in a PolicyStatement must have the same Conditions” というエラーが発生する場合の対処

Amazon EventBridge Scheduler を AWS CDK で構成する際に “Resolution error: All principals in a PolicyStatement must have the same Conditions” というエラーが発生する場合の対処

#Amazon EventBridge
#Amazon EventBridge Scheduler
#AWS CDK
若槻龍太

若槻龍太

facebook logohatena logotwitter logo
Clock Icon2024.01.12

こんにちは、CX 事業本部/製造ビジネステクノロジー部/新規サービスチームの若槻です。

Amazon EventBridge Scheduler は、Lambda 関数などのターゲットをスケジュール実行できる Amazon EventBridge の機能です。

以前までは EventBridge スケジュールルールでも同様のことができましたが、EventBridge Scheduler はスケジュール実行のための機能として特化しており、スケジュールルールに比べて高度なカスタマイズ性やスケーラビリティを備えています。両者の比較は次の記事が参考になります。

そして EventBridge Scheduler を AWS CDK で構成する場合は現状では alpha module を利用します。

この AWS CDK の alpha module を利用して Amazon EventBridge Scheduler を構成する際に、 Resolution error: All principals in a PolicyStatement must have the same Conditions というエラーが発生したので対処した内容を共有します。

はじめに結論

EventBridge Scheduler では次のように aws_scheduler_targets_alpha.LambdaInvoke を使用して Lambda 関数を実行ターゲットとして指定するのですが、その際に 同一の CDK スタック内で複数の Scheduler を作成する場合 は、ターゲットで明示的に role プロパティを指定する必要がありました。

import {
  aws_lambda_nodejs,
  aws_lambda,
  aws_iam,
  Stack,
  TimeZone,
} from 'aws-cdk-lib';
import * as aws_scheduler_alpha from '@aws-cdk/aws-scheduler-alpha';
import * as aws_scheduler_targets_alpha from '@aws-cdk/aws-scheduler-targets-alpha';
import { Construct } from 'constructs';

export class CdkSampleStack extends Stack {
  constructor(scope: Construct, id: string) {
    super(scope, id);

    const accounId = this.account;
    const region = this.region;

    // Lambda 関数
    const helloFunc = new aws_lambda_nodejs.NodejsFunction(this, 'HelloFunc', {
      runtime: aws_lambda.Runtime.NODEJS_20_X,
      architecture: aws_lambda.Architecture.ARM_64,
    });

    // Lambda 実行ターゲット
    const target = new aws_scheduler_targets_alpha.LambdaInvoke(helloFunc, {
      role: new aws_iam.Role(this, 'Role', {
        assumedBy: new aws_iam.ServicePrincipal(
          'scheduler.amazonaws.com'
        ).withConditions({
          StringEquals: {
            'aws:SourceAccount': accounId,
          },
          StringLike: {
            'aws:SourceArn': `arn:aws:scheduler:${region}:${accounId}:schedule/default/*`,
          },
        }),
      }),
    });

    // Scheduler その1
    new aws_scheduler_alpha.Schedule(this, 'Shedule1', {
      schedule: aws_scheduler_alpha.ScheduleExpression.cron({
        minute: '0',
        hour: '1',
        month: '3',
        day: '1-31',
        year: '2024',
        timeZone: TimeZone.ASIA_TOKYO,
      }),
      target,
    });

    // Scheduler その2
    new aws_scheduler_alpha.Schedule(this, 'Shedule2', {
      schedule: aws_scheduler_alpha.ScheduleExpression.cron({
        minute: '0',
        hour: '1',
        month: '4',
        day: '1-10',
        year: '2024',
        timeZone: TimeZone.ASIA_TOKYO,
      }),
      target,
    });
  }
}

CDK デプロイにより、上記で定義した 2 つの Scheduler が作成されました。

事象

当初、同じ Lambda 関数をターゲットとした複数の Scheduler を次のように作成しようとしました。

import { aws_lambda_nodejs, aws_lambda, Stack, TimeZone } from 'aws-cdk-lib';
import * as aws_scheduler_alpha from '@aws-cdk/aws-scheduler-alpha';
import * as aws_scheduler_targets_alpha from '@aws-cdk/aws-scheduler-targets-alpha';
import { Construct } from 'constructs';

export class CdkSampleStack extends Stack {
  constructor(scope: Construct, id: string) {
    super(scope, id);

    // Lambda 関数
    const helloFunc = new aws_lambda_nodejs.NodejsFunction(this, 'HelloFunc', {
      runtime: aws_lambda.Runtime.NODEJS_20_X,
      architecture: aws_lambda.Architecture.ARM_64,
    });

    // Lambda 実行ターゲット
    const target = new aws_scheduler_targets_alpha.LambdaInvoke(helloFunc, {});

    // Scheduler その1
    new aws_scheduler_alpha.Schedule(this, 'Shedule1', {
      schedule: aws_scheduler_alpha.ScheduleExpression.cron({
        minute: '0',
        hour: '1',
        month: '3',
        day: '1-31',
        year: '2024',
        timeZone: TimeZone.ASIA_TOKYO,
      }),
      target,
    });

    // Scheduler その2
    new aws_scheduler_alpha.Schedule(this, 'Shedule2', {
      schedule: aws_scheduler_alpha.ScheduleExpression.cron({
        minute: '0',
        hour: '1',
        month: '4',
        day: '1-10',
        year: '2024',
        timeZone: TimeZone.ASIA_TOKYO,
      }),
      target,
    });
  }
}

しかし CDK Synth 時に次のようなエラーが発生しました。

$ cdk synth

Error: Resolution error: Resolution error: Resolution error: All principals in a PolicyStatement must have the same Conditions (got '{}' and '{"StringEquals":{"aws:SourceAccount":"${Token[AWS.AccountId.9]}"}}'). Use multiple statements instead..

切り分け

その1

実行対象の Lambda 関数およびターゲットを Scheduler ごとに分けてみました。

import { aws_lambda_nodejs, aws_lambda, Stack, TimeZone } from 'aws-cdk-lib';
import * as aws_scheduler_alpha from '@aws-cdk/aws-scheduler-alpha';
import * as aws_scheduler_targets_alpha from '@aws-cdk/aws-scheduler-targets-alpha';
import { Construct } from 'constructs';

export class CdkSampleStack extends Stack {
  constructor(scope: Construct, id: string) {
    super(scope, id);

    // Lambda 関数1
    const helloFunc = new aws_lambda_nodejs.NodejsFunction(this, 'HelloFunc', {
      runtime: aws_lambda.Runtime.NODEJS_20_X,
      architecture: aws_lambda.Architecture.ARM_64,
    });

    // Lambda 実行ターゲット1
    const target = new aws_scheduler_targets_alpha.LambdaInvoke(helloFunc, {});

    // Scheduler その1
    new aws_scheduler_alpha.Schedule(this, 'Shedule1', {
      schedule: aws_scheduler_alpha.ScheduleExpression.cron({
        minute: '0',
        hour: '1',
        month: '3',
        day: '1-31',
        year: '2024',
        timeZone: TimeZone.ASIA_TOKYO,
      }),
      target,
    });

    // Lambda 関数2
    const helloFunc2 = new aws_lambda_nodejs.NodejsFunction(
      this,
      'HelloFunc2',
      {
        runtime: aws_lambda.Runtime.NODEJS_20_X,
        architecture: aws_lambda.Architecture.ARM_64,
      }
    );

    // Lambda 実行ターゲット2
    const target2 = new aws_scheduler_targets_alpha.LambdaInvoke(
      helloFunc2,
      {}
    );

    // Scheduler その2
    new aws_scheduler_alpha.Schedule(this, 'Shedule2', {
      schedule: aws_scheduler_alpha.ScheduleExpression.cron({
        minute: '0',
        hour: '1',
        month: '4',
        day: '1-10',
        year: '2024',
        timeZone: TimeZone.ASIA_TOKYO,
      }),
      target: target2,
    });
  }
}

すると同じエラーが再度発生しました。

$ cdk synth

Error: Resolution error: Resolution error: Resolution error: All principals in a PolicyStatement must have the same Conditions (got '{}' and '{"StringEquals":{"aws:SourceAccount":"${Token[AWS.AccountId.9]}"}}'). Use multiple statements instead..

これ、同一スタック内で同じロールを複数の Scheduler 間で共用しようとしてエラーになっているのでしょうか？

その2

次のように 1 つの Scheduler を構成しようとした場合は、もちろんデプロイ含め成功します。

import { aws_lambda_nodejs, aws_lambda, Stack, TimeZone } from 'aws-cdk-lib';
import * as aws_scheduler_alpha from '@aws-cdk/aws-scheduler-alpha';
import * as aws_scheduler_targets_alpha from '@aws-cdk/aws-scheduler-targets-alpha';
import { Construct } from 'constructs';

export class CdkSampleStack extends Stack {
  constructor(scope: Construct, id: string) {
    super(scope, id);

    // Lambda 関数
    const helloFunc = new aws_lambda_nodejs.NodejsFunction(this, 'HelloFunc', {
      runtime: aws_lambda.Runtime.NODEJS_20_X,
      architecture: aws_lambda.Architecture.ARM_64,
    });

    // Lambda 実行ターゲット
    const target = new aws_scheduler_targets_alpha.LambdaInvoke(helloFunc, {});

    // Scheduler その1
    new aws_scheduler_alpha.Schedule(this, 'Shedule1', {
      schedule: aws_scheduler_alpha.ScheduleExpression.cron({
        minute: '0',
        hour: '1',
        month: '3',
        day: '1-31',
        year: '2024',
        timeZone: TimeZone.ASIA_TOKYO,
      }),
      target,
    });
  }
}

そして作成された SchedulerRoleForTarget の Trust Relationship は次のようになっていました。

$ aws iam get-role --role-name $SchedulerRoleForTargetName --query 'Role.AssumeRolePolicyDocument'
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "scheduler.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "XXXXXXXXXXXX"
                }
            }
        }
    ]
}

上記のステートメントの Condition の記述は、

(got '{}' and '{"StringEquals":{"aws:SourceAccount":"${Token[AWS.AccountId.9]}"}}')

とあるうちの後者 {"StringEquals":{"aws:SourceAccount":"${Token[AWS.AccountId.9]}"}} に該当します。そして事象が発生したパターンでは上記に加えて 2 つ目の {} が追加されようとして、両者が異なっているためエラーとなったようです。

そこで role プロパティを明示的に指定することにより、冒頭に示した通りエラーを回避できました。

おわりに

AWS CDK の alpha module を利用して Amazon EventBridge Scheduler を構成する際に、 Resolution error: All principals in a PolicyStatement must have the same Conditions というエラーが発生したので対処した内容を共有しました。

バグのような挙動なので、今後修正される可能性もありますが、現時点では上記のような対処が必要です。注意しつつ活用していきましょう。

参考

以上

Share this article

facebook logohatena logotwitter logo

関連記事

EventBridge + Lambdaを使用してEC2インスタンスに自動的にIAMロールを付与する方法

EventBridge + Lambdaを使用してEC2インスタンスに自動的にIAMロールを付与する方法

User avatar
katsumata
2024.11.19
EventBridge を使って特定の IP 以外からのアクセスキー利用をメール通知してみる

EventBridge を使って特定の IP 以外からのアクセスキー利用をメール通知してみる

User avatar
ヒラネ
2024.11.16
Lambda でリソースベースポリシーのプリンシパルを監視してみた

Lambda でリソースベースポリシーのプリンシパルを監視してみた

作ったのは誰？EC2 インスタンス作成時に作成者を自動でタグ付与してみた

作ったのは誰？EC2 インスタンス作成時に作成者を自動でタグ付与してみた

User avatar
Shiina
2024.11.13
Classmethod's white logo
Facebook's logo
X's logo
YouTube's logo

© Classmethod, Inc. All rights reserved.