python boto3错误：未授权对资源执行假定角色

Question

我正在尝试将文件从一个账户（源账户）中的 S3 存储桶移动到另一个账户（目标账户）中的 S3 存储桶，我正在使用 sagemaker 笔记本，因此我有一个 sagemaker 角色。我在我的团队帐户中也有一个角色，它具有完全的s3访问权限和完全的管理员访问权限，并且在信任关系中，我为目标帐户角色arn和sagemaker角色arn提供了一个角色。目标帐户在其信任策略中还具有我的团队角色 arn 和贤者角色 arn。

我正在尝试承担我的团队角色，然后我将承担复制文件的目标角色。

    import boto3
    sts_client = boto3.client('sts')
assumed_teamrole_object = sts_client.assume_role(DurationSeconds=1800,
                                                 RoleArn='myteamrole',
                                                 RoleSessionName='test1')
    assumed_destrole_object = sts_client.assume_role(DurationSeconds=1800,
                                                 ExternalId='externalid provided by destination account',
                                                 RoleArn='destination account role',
                                                 RoleSessionName='test2')

前三行执行得很好。当我试图承担目标角色时，我得到了错误

调用AssumeRole操作时发生错误（AccessDened）：User： arn： aws： sts::角色/Amazon SageMaker-ExecutionRole-/SageMaker未被授权执行：sts： AssumeRole on Resource： arn： aws： iam::destination角色

我是否缺少了什么，我做错了什么。请帮帮我。我没有任何用户，只有角色。

谢谢！

Answer 1

错误消息指示您缺少 sts：假设角色权限。您的评论表明情况确实如此，因为您目前只有 S3 权限。

要纠正这一点，您可以将内联策略添加到Amazon SageMaker-ExecutionRole角色，形式为：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "*"
        }
    ]
}

您可以进一步将< code >资源限制为仅< code > arn:AWS:iam::destination role 。但是对于测试，您可以尝试使用< code>*作为< code >资源。