Lambda が S3 で AccessDenied になるときの確認ポイント ── 実行ロールにポリシーを付ける

前提条件

1. リージョン: ap-northeast-1（東京）
2. 以下のリソースが作成済みであること

まだ用意していない場合は、「作り方の参考」の記事の手順で作れます。リソース名は、この記事の名前に読み替えてください。

作成するリソース一覧

手順 1: 関数を作る

AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します。上部の検索バーに Lambda と入力し、「Lambda」を選択します。

「関数を作成」をクリックし、以下を設定します。

1. 「一から作成」を選択
2. 関数名: dva-convert-fn
3. ランタイム: Python 3.13
4. 実行ロール: 「その他の設定」の「カスタム実行ロール」はオフ（デフォルト）のまま。CloudWatch Logs への出力だけを許可する実行ロールが自動で作られます

画面下部の「関数を作成」をクリックします（作成後に案内のダイアログが出たら閉じます）。「コード」タブのエディタで lambda_function.py を次の内容に置き換え、「Deploy」をクリックします。DST_BUCKET の <アカウントID> は自分のアカウント ID に置き換えます。

import urllib.parse

import boto3

s3 = boto3.client("s3")
DST_BUCKET = "dva-convert-dst-<アカウントID>"


def lambda_handler(event, context):
    for record in event["Records"]:
        src_bucket = record["s3"]["bucket"]["name"]
        key = urllib.parse.unquote_plus(record["s3"]["object"]["key"])
        body = s3.get_object(Bucket=src_bucket, Key=key)["Body"].read().decode("utf-8")
        converted = body.upper()   # 変換処理の代わりに大文字にする
        out_key = key.rsplit(".", 1)[0] + ".converted.txt"
        s3.put_object(Bucket=DST_BUCKET, Key=out_key, Body=converted.encode("utf-8"))
        print(f"converted s3://{src_bucket}/{key} -> s3://{DST_BUCKET}/{out_key}")

手順 2: S3 トリガーを追加する

関数の概要の「トリガーを追加」をクリックし、以下を設定します。

1. ソース: S3
2. バケット: dva-convert-src-<アカウントID>（一覧から選んで「入力が無効です」と表示される場合は、arn:aws:s3:::dva-convert-src-<アカウントID> と ARN で入力します）
3. イベントタイプ: 「すべてのオブジェクト作成イベント」
4. サフィックス - オプション: .txt
5. 「再帰呼び出し」の確認のチェックボックスにチェック（出力先は別のバケットなので、再帰にはなりません）

「追加」をクリックします。

手順 3: ファイルを置いて AccessDenied を確かめる

S3 のコンソールで dva-convert-src-<アカウントID> を開き、次の内容の hello.txt をアップロードします。

hello from the banana warehouse

Lambda のコンソールに戻り、dva-convert-fn の「モニタリング」タブ →「CloudWatch Logs を表示」をクリックして、最新のログストリームを開きます。An error occurred (AccessDenied) when calling the GetObject operation のエラーが記録されています。トリガーで関数は呼ばれたものの、関数が転送元バケットを読めなかったことが分かります。

手順 4: 実行ロールにポリシーをアタッチする

dva-convert-fn の「設定」タブ →「アクセス権限」を選択します。「実行ロール」に表示されているロール名（dva-convert-fn-role- で始まる名前）をクリックすると、IAM コンソールでロールが開きます。「許可ポリシー」には、CloudWatch Logs への出力だけを許可するポリシーが付いています。

「許可を追加」→「ポリシーをアタッチ」を選択します。検索欄に dva-convert-s3-policy と入力し、チェックを入れて「許可を追加」をクリックします。

手順 5: もう一度ファイルを置く

S3 のコンソールで、転送元バケットに hello.txt をもう一度アップロードします（同じ名前で上書きすると、新しい作成イベントとして関数が呼ばれます）。

出力先の dva-convert-dst-<アカウントID> を開くと、hello.converted.txt が作られています。オブジェクトを開いて「開く」をクリックすると、内容が HELLO FROM THE BANANA WAREHOUSE になっていることを確認できます。CloudWatch Logs にも converted s3://... -> s3://... のログが記録されます。