Как добавить разрешение Secrets Manager IAM?

В зависимости от вашего фактического контекста есть два возможных варианта.

<сильный>1. Импортировать существующую роль

Если функция Lambda была предварительно определена (например, в другом стеке), вы можете добавить дополнительные разрешения к существующей роли выполнения Lambda, сначала импортировав ее в этот стек CDK.

class CdkStack extends cdk.Stack {
    constructor(scope, id, props) {
        // ...

        // Import the existing role into the stack
        const roleArn = 'arn:aws:iam::123456789012:role/MyExistingLambdaExecutionRole'
        const role = iam.Role.fromRoleArn(this, 'Role', roleArn, {
            mutable: true,
        });

        const dbReadSecret = new secretsmanager.Secret(this, "databaseReader");
        const dbWriteSecret = new secretsmanager.Secret(this, "databaseWriter");

        dbReadSecret.grantRead(role);
        dbWriteSecret.grantRead(role);
    }
}

Для получения дополнительной информации об использовании модуля aws-iam CDK, вот ссылка на документацию. Здесь вы можете узнать больше о самой роли выполнения Lambda.

<сильный>2. Лямбда-функция определена как часть стека

Если лямбда-функция была определена где-то в этом стеке, вы можете просто прикрепить разрешения к лямбда-функции через ее ссылку, используя dbReadSecret.grantRead(lambda.role) и dbWriteSecret.grantRead(lambda.role) соответственно.

class CdkStack extends cdk.Stack {
    constructor(scope, id, props) {
        // ...

        // Create the function or retrieve the reference if 
        // it has been defined somewhere else in the stack

        const lambda = ...

        const dbReadSecret = new secretsmanager.Secret(this, "databaseReader");
        const dbWriteSecret = new secretsmanager.Secret(this, "databaseWriter");

        dbReadSecret.grantRead(lambda.role);
        dbWriteSecret.grantRead(lambda.role);
    }
}

Посмотрите ответ на этот вопрос для справки.