AWS IAM 角色权限问题

Question

我们刚刚在 EC2 实例上构建了一个托管在 AWS 上的新 Things Enterprise 服务器，并创建了一个应用程序来使用 AWS IOT。 我们收到以下错误

“消息”：“用户：arn:aws:sts::446971925991:assumed-role/Things-Enterprise-Stack-Srv-StackIAMRole-DBHBSMSY05AQ/i-095895d605fab3fa4 无权执行：sts:AssumeRole 资源： :iam::446971925991:role/Bosh-Parking-IOT-Stack-TheThingsStackRoleCD9FBAD2-C44RRJJ53M93”

有人告诉我

试图承担角色的 TTES 实例的执行角色是什么？ 角色 TTES 需要能够承担该角色。 这将提供正确的权限。

但我不确定这意味着什么，我假设我需要在 IAM 角色中添加/更改一些权限。 有人可以指出我正确的方向吗？

Answer 1

从错误消息来看，您的 Amazon EC2 IAM 角色似乎无权代入角色Bosh-Parking-IOT-Stack-TheThingsStackRoleCD9FBAD2-C44RRJJ53M93 。

要手动添加此类权限，您可以执行以下操作：

1. 转到IAM Console->Roles 。
2. 在Roles窗口中，您可以使用Search栏找到Things-Enterprise-Stack-Srv-StackIAMRole-DBHBSMSY05AQ角色。
3. 找到角色后，单击Add inline policy 。
4. Create policy窗口显示后，您可以转到JSON tab并添加以下 JSON 策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::446971925991:role/Bosh-Parking-IOT-Stack-TheThingsStackRoleCD9FBAD2-C44RRJJ53M93"
        }
    ]
}

5. 然后单击Review Policy ，命名策略（例如 PolicyToAssumeRole）并Create policy

然而，根据您的策略名称（如堆栈-SRV-StackIAMRole）有可能，他们已经通过CloudFormation创建。 如果是这种情况，那么如上所述手动更改角色是一种不好的做法，会导致漂移。 对 CloudFormation 创建的资源的任何更改都应使用 CloudFormation 完成。 遗憾的是，您的问题没有提供有关所用 CloudFormation 模板的任何详细信息，因此很难对此发表更多评论。