AWSアカウントＡ内のLambda関数から**、AWSアカウントＢ**内にあるLambda関数を呼び出す方法の備忘録です。

もともとのゴールは、アカウントＡ内のAmazon Lexボットから、アカウントＢ内のLambda関数を直接呼び出すことでした。

しかし現状無理そうなので、アカウントＡ内の（プロキシ）Lambda関数を経由して、間接的にアカウントＢの（本命）Lambda関数を呼び出すことにしました。

##概要

Lexボットがある、呼び出し側のAWSアカウントをアカウントＡ（ID：999999999999）、呼び出される本命Lambda関数がある側のAWSアカウントを**アカウントＢ（ID：000000000000）**とします。

アカウントＡ内に作成するプロキシLambda関数が、アカウントＢ内の本命Lambda関数を呼び出すには、アカウントＢの側でアカウントＡのアクセスを許可する必要があります。

セットアップ全体の流れは次のとおり。

アカウントＢ内に、本命Lambdaの実行権限を持つIAM Roleを作成
アカウントＡ内に、上記のRoleと連携するRoleを作成
アカウントＡ内で、このRoleの下にプロキシLambda関数を作成
プロキシLambda内で、Roleの権限を行使して本命Lambdaを実行
（おまけ）LexボットがプロキシLambda関数を呼び出すようにする

##Step 1：アカウントＢ内に IAM Roleを作成
まずアカウントＢ側で、本命Lambdaを実行できる権限を持つ、アカウントＡ用のIAM Roleを作成します。

アカウントＢ（ID：000000000000、本命Lambda側）上で、AWS管理コンソールのメニューから IAM > Access management > Rolesを開きCreate roleボタンをクリック。

Select type of trusted entityセクションでAnother AWS accountを選択し、Account ID欄にアカウントＡのIDを入力。アカウントＡがこのロールを担う主体となります。
Next: Permissionsをクリック。

Attach permissions policiesセクションでは、このロールが持つ権限としてAWSLambdaRoleポリシーを選択し、次に進みます。

Tagsセクションでは、必要であればタグを指定して次に進みます。

次のReviewセクションで、Role name欄に任意のロール名を入力して、Create roleボタンをクリック。
ロールが新規作成されます。

作成されたロールを開き、ロールのRole ARNを控えておきます。（Step 2と3で使用する）

##Step 2：アカウントＡ側にもロールを作成
次はアカウントＡ側に、Step 1で作成したロールと連携するロールを新規作成します。

アカウントＡ（ID：999999999999、LexボットとプロキシLambda側）上で、AWS管理コンソールのメニューから IAM > Access management > Roles を開き、Create roleボタンをクリック。

Select type of trusted entityセクションでAWS service、Choose a use caseセクションではLambdaを選択。

Attach permissions policiesセクションで、Create policyボタンをクリック。

新しいブラウザーウィンドウ（またはタブ）が開きます。JSONタブに移動し、下記のようなインラインポリシーを作成します。

インラインポリシーのテキストはこちら↓。
Resourceの値として、Step 1で作成したロールのARNを指定します。

AssumeRolePolicy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::000000000000:role/myIntegrationLambda" //アカウントＢで作成したロールのARN
        }
    ]
}

Tagsセクションは、必要であればタグを指定して次に進みます。

次のReview policyセクションで、Name欄に任意のポリシー名を入力し、Create policyボタンをクリック。
インラインポリシーが新規作成されます。
このウィンドウ（またはタブ）を閉じて、手続き途中だったCreate roleのウィンドウに戻ります。

Create roleのブラウザーウィンドウに戻り、Attach permissions policiesセクションで、ロールに付与するポリシーを選択します。
ここではAWSLambdaBasicExecutionRoleと、今作成したインラインポリシーを選択。

AWSLambdaBasicExecutionRoleはアカウントＡ内のLambdaを実行する権限、インラインポリシーはStep 1で作成した、アカウントＢ側のロールを執行する権限を付与するポリシーです。

Next: Tagsボタンをクリック。

Tagsセクションでは、必要であればタグを指定して、次に進みます。

次のReviewセクションで、Role name欄に任意のロール名を入力してCreate roleボタンをクリック。
アカウントＡ側のロールが新規作成されます。

##Step 3：アカウントＡ側で（アカウントＢ内の本命Lambdaを呼び出す）プロキシLambdaを作成
アカウントＡ（ID：999999999999）のAWS管理コンソールで、Lambdaを開き、Create functionボタンをクリック。プロキシLambda関数を新規作成します。

Author from scratchを選び、Function name 欄に任意の関数名を入力。
RuntimeはNode.js 14.xを選択し、Change default execution roleセクションをクリックして開く。

Change default execution roleセクションでは、Step 2で作成したロールを指定するのでUse an existing roleを選択します。

Existing roleのドロップダウンリストで、Step 2で作成したロールを選びます。
このロール選択により、プロキシLambdaがアカウントＢの本命Lambdaを実行できる権限を持ちます。
Create functionボタンをクリックして、Lambda関数を新規作成します。

##Step 4：プロキシLambda内で、Roleの権限を行使して本命Lambdaを実行
本命Lambda関数を呼び出して実行するプロキシLambda関数のコードを書きます。

Lambda関数の画面では、上部右側に、その関数のARNが表示されています。プロキシLambdaのコード内で、本命LambdaのARNが必要になるので、予めアカウントＢ内の本命Lambdaから取得しておきます。

index.jsに、下記のコードを入力します。

ProxyLambda

const aws = require('aws-sdk');
     
"use strict";
 
 
// --------------- Main handler -----------------------
  
// Route the incoming request based on intent.
// The JSON body of the request is provided in the event slot.
exports.handler = async (event, context, callback) => {
        console.log("Started");
        const lexPost = JSON.stringify(event);
        console.log(lexPost);
       
 
        var sts = new aws.STS({apiVersion: '2011-06-15'});
        var stsParams = {
            RoleArn: "arn:aws:iam::000000000000:role/myIntegrationLambda", //Step 1で作成したロールのARN
            DurationSeconds: 3600,
            RoleSessionName: "assumeRoleSession"
        };
     
        const stsResults = await sts.assumeRole(stsParams).promise();
        console.log("STS Result: ", stsResults);
         
        var lambda = new aws.Lambda({
            region: 'ap-northeast-1', //アカウントＡのlambdaがあるリージョン
            accessKeyId: stsResults.Credentials.AccessKeyId,
            secretAccessKey:stsResults.Credentials.SecretAccessKey,
            sessionToken: stsResults.Credentials.SessionToken
        });
     
     
        console.log("Got new Lambda");
           
        const params = {
            FunctionName: "arn:aws:lambda:ap-northeast-1:000000000000:function:myMainLambda", //アカウントＡのlambdaのARN
            InvocationType: "RequestResponse",
            Payload: JSON.stringify(event)
        };
        console.log("Params: ", params);
           
        const res = await lambda.invoke(params, (err, data) => {
            let res = data;
            if (err) {
              console.log("呼び出し失敗");
              console.log(err);
              callback(err, err);       
            } else {
              console.log("呼び出し成功");
              console.log("response:", res);
              callback(null, JSON.parse(res.Payload));
            }
        }).promise();
           
};

18行目のRoleArnには、Step 1の最後で控えたARNを指定します。
37行目のFunctionNameには、アカウントＢにある本命lambda関数のARNを指定します。

Deployボタンでコードをデプロイします。

##Step 5：（おまけ）LexボットがプロキシLambda関数を呼び出すようにする
LexボットのインテントがプロキシLambda関数実行できるよう、FulfillmentセクションでStep 3、4のプロキシLambda関数を指定します。

まず、Step 4の最後でコードをデプロイしたあと、Versionsタブに移動します。

Publish new versionボタンをクリックして新しいバージョンを作成します。

バージョンを発行することで、LexボットがIntentのFulfillmentにこのlambda関数を利用できるようになります。

アカウントＡ上で、AWS管理コンソールのメニューからAmazon Lexをクリックして移動し、Lambda関数を実行させたいIntentを開きます。

IntentのFulfillmentセクションで、プロキシLambda関数を指定し、Intentを保存します。