Кросс-аккаунт Lambda Call никогда не удается

Question

У меня есть центральная учетная запись Tooling, которая содержит конвейер развертывания и другую учетную запись («этап»), на которой развернуто приложение. Одним из шагов в конвейере является миграция базы данных с помощью лямбда-функции в промежуточной учетной записи. Функция вызывается, но она приводит к ошибке, потому что она не может получить доступ к кодовой линии, и этап в конвейере переходит в тайм-аут через ~ 20 минут. Сообщение об ошибке в конвейере указывает на то, что лямбда-функция не вызывает PutJobSuccessResult / PutJobFailureResult или функция не может.

Функция вызывает эти функции, но, похоже, у нее нет прав доступа к кодовой линии в учетной записи инструмента.

Это политики, которые привязаны к Lambda и Codepipeline:

Lambda:

...,{
        "Action": [
            "codepipeline:PutJobSuccessResult",
            "codepipeline:PutJobFailureResult"
        ],
        "Effect": "Allow",
        "Resource": [
          "*",
          "${var.pipelineArn}"
        ]
    },...

и кодовая линия:

..., {
  "Effect": "Allow",
  "Action": [
    "codepipeline:*",
    "iam:ListRoles",
    "cloudformation:Describe*",
    "cloudFormation:List*",
    "codecommit:List*",
    "codecommit:Get*",
    "codecommit:GitPull",
    "codecommit:UploadArchive",
    "codecommit:CancelUploadArchive",
    "codebuild:BatchGetBuilds",
    "codebuild:StartBuild",
    "cloudformation:CreateStack",
    "cloudformation:DeleteStack",
    "cloudformation:DescribeStacks",
    "cloudformation:UpdateStack",
    "cloudformation:CreateChangeSet",
    "cloudformation:DeleteChangeSet",
    "cloudformation:DescribeChangeSet",
    "cloudformation:ExecuteChangeSet",
    "cloudformation:SetStackPolicy",
    "cloudformation:ValidateTemplate",
    "iam:PassRole",
    "s3:ListAllMyBuckets",
    "s3:GetBucketLocation"
  ],
  "Resource": "*"
}, ...

Есть идеи о том, чего не хватает? Я предполагаю, что мне нужно где-то добавить Принцип, но я не знаю, где ...