開発環境

Lambda
VPC

前提

VPC内にLambdaを作成しようとしたところ、IAMロールに対してポリシーが不十分だよと指摘された。

発生したエラー

The provided execution role does not have permissions to call CreateNetworkInterface on EC2

内容

このエラーメッセージは、AWS Lambdaや他のサービスがEC2インスタンス上にあるネットワークインターフェース（ENI:Elastic Network Interface）を作成しようとしているが、アタッチされているIAMロールにその操作を行うための適切な権限がないことを示している。

この場合は、IAMロールに適切なポリシーが付与されていないことによるエラーメッセージとなる。Lambda関数がVPC内のリソース（例えば、RDSやEC2）にアクセスまたは作成される際、ネットワークインターフェースを作成するためにこの権限が必要。

VPC内で動作するLambdaはネットワークインターフェース（ENI）を使用してVPCリソースにアクセスするため、適切なVPCサブネット及びセキュリティグループも必要らしい。

試したこと

IAMロールにCreateNetworkInterfaceなどの関連するポリシーをアタッチした

IAMロールにCreateNetworkInterfaceなどの関連するポリシーをアタッチした

			"Action": [
				"ec2:CreateNetworkInterface",
				"ec2:DescribeNetworkInterfaces",
				"ec2:DeleteNetworkInterface",
				"ec2:AttachNetworkInterface"
			],

AWSLambdaVPCAccessExecutionRole を関数の実行ロールにアタッチすることで、関数に必要なアクセス許可を付与できます。

ドキュメントに、このような記載がありました。

独自の IAM アクセス許可ポリシーを作成する場合は、次のアクセス許可をすべて追加してください。

ec2:CreateNetworkInterface

ec2:DescribeNetworkInterfaces

ec2:DescribeSubnets

ec2:DeleteNetworkInterface

上記ポリシーをIAMロールにアタッチすることで、VPC内にLambdaを作成する事ができました。

まとめ

Lambdaはデフォルトでは、VPC外に置かれているため、VPC内に置く場合はIAMロールに対してポリシーの設定が必要みたいです。