AWS cli：未授权执行：sts：资源上的AssumeRole

Question

我有一个 AWS 账户，在该账户中，我代入一个名为 A（角色-A） 的角色，我从该角色通过 Web 控制台创建了另一个名为 B（role-B） 的角色，并将管理员策略附加到该角色

这是cli配置

[default]
aws_access_key_id = <>
aws_secret_access_key = <>
region = eu-central-1

[role-B]
role_arn = arn:aws:iam::<id>:role/ics-role
mfa_serial = arn:aws:iam::<id>:mfa/<name>
external_id = <name>
source_profile = default

我从角色 A 创建的角色 B

当我试图得到角色细节时

aws --profile role-B sts get-caller-identity

我收到以下错误

调用假设角色操作时发生错误 （访问消除）： 用户： arn：aws：iam：：

Answer 1

我的问题是我在策略json中设置了一个条件。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::000000000:dave"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
           // Condition set here
        }
    }]
}

我删除了条件，它现在没有问题。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::000000000:dave"
        },
        "Action": "sts:AssumeRole"
    }]
}

Answer 2

您需要检查iam角色的信任关系策略文档，以确认您的用户在其中。

此外，确保iam用户具有允许他们承担该角色的显式权限。

信任关系应该如下所示：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::1234567890:user/person"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}