CloudFormationでのLambda構築エラー

Question

CloudFormationでのLambda構築について
スタック作成中に以下のエラーで構築に失敗します。

Resource handler returned message: "The role defined for the function cannot be assumed by Lambda. (Service: Lambda, Status Code: 400, Request ID: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx, Extended Request ID: null)" (RequestToken: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx, HandlerErrorCode: InvalidRequest)

Lambdaに対するAssumeRoleの設定が必要そうであるように見えるので
以下を参考にCloudFormation実行のロールの信頼関係に以下のような形で追加しましたが
結果は変わりませんでした。

    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }

参考にしたサイトは以下です。
The role defined for the function cannot be assumed by Lambda
CloudFormationサービスロールの概要と注意点

上記について解決方法をご存知の方いらっしゃいましたら
ご教授のほどお願いいたします。

Answer 1

CFnテンプレート内のLambdaの実行ロールの指定の仕方が間違っていました。
誤：arn:aws:iam::${AWS::AccountId}:role/service-role/ロール名
正：arn:aws:iam::${AWS::AccountId}:role/ロール名

今回のような存在しないroleを指定したときに
The role defined for the function cannot be assumed by Lambda.
のエラーになるようですが、エラーメッセージに惑わされてしまいました。

Answer 2

The role defined for the function

なので、CloudFormationの実行ロールではなくLambda Functionに設定している実行ロールではないでしょうか

AWS Lambda 実行ロール

CloudFormationテンプレートの定義でIAMロールを指定しているところがあるので、そのロールの信頼関係を確認してみてください。
もしIAMロールも合わせてCloudFormationで定義しているのならそちらを修正してください。

Comments

[lonoru]

ご回答ありがとうございます。
CFnテンプレート内で指定するLambda実行ロールにはすでに信頼されたエンティティとしてlambda.amazonaws.comを入れていました。
また、念のため、cloudformation.amazonaws.comに対する信頼も追加しましたが結果は変わりませんでした。
スタック作成画面で設定できるCloudFormationのIAMロールを別途作成したロールに変更し、そちらにも同様にlambda.amazonaws.comとcloudformation.amazonaws.comに対する信頼設定もしてみましたが結果は変わらずでした。。

[yu_1985]

実際のCloudFormationテンプレートと信頼関係の設定内容を質問に追記する形で貼ってみてください。
必要がある場合適当にマスクしてください。

[lonoru]

ありがとうございます。
設定しているロールを添付するため内容を整理しているなかで
ロールの指定の仕方が間違っていることが分かりました。
誤：arn:aws:iam::${AWS::AccountId}:role/service-role/ロール名
正：arn:aws:iam::${AWS::AccountId}:role/ロール名

上記の正のように修正し、再度試してみたところ正常に構築することができました。
見直すきっかけをいただきありがとうございました。

もしよろしければ以下のCFnによるAPIGatewayでの設定に関する質問につきましても
未解決で困っており、助言いただけますと大変助かります。
https://teratail.com/questions/369968

[yu_1985]

申し訳ないですが、普段はCFnではなくTerraformを使っているのと、API Gatewayはあまり使っていないのでお力にはなれないと思います。
ドキュメントには特に入力値の範囲に対する言及もなさそうですし。
Terraformで同じ設定をするには-1を入れるだけで良さそうですが…。

[lonoru]

お返事ありがとうございます。承知しました。
そうなのですよね、、どこかで負の値を入れる、と見た記憶があったのですが
うまく動作せず、な感じです。。