AWS 管理员没有 EC2 描述操作

Question

我有一个 AdministratorAccess 的 IAM 角色，但是当我将自定义模板上传到 AWS CloudFormation 时，我收到以下错误：

操作失败，ComputeEnvironment 因错误而无效： CLIENT_ERROR - 您无权调用 EC2 描述操作。 需要执行 CreateLaunchConfiguration 操作。

所有其他资源似乎都已成功完成，所以我不确定是否发生了某种角色委派？

Answer 1

您可能受到Service Control Policies (SCP) 或Permission Boundaries 甚至其他policy types 的影响。

• Identity-based policies
• Resource-based policies
• Permissions boundaries
• Organization SCPs
• Access control lists
• Session policies

关于 SCP：

SCP 限制成员中 IAM 用户和角色的权限 帐户，包括成员帐户的 root 用户。任何账户都有 只有在它上面的每个父母允许的那些权限。如果一个 权限在帐户上方的任何级别都被阻止，要么 隐式（不包含在 Allow 策略语句中）或 明确地（通过包含在拒绝策略声明中），用户或 受影响帐户中的角色无法使用该权限，即使 账户管理员将 AdministratorAccess IAM 策略附加到 / 授予用户的权限。

另见How to use service control policies to set permission guardrails across accounts in your AWS Organization

正如this article 所说，

AWS 组织的成员账户无法查看 SCP 已应用于他们。此外，当动作被拒绝时， 无法知道这是否是由于 IAM 政策、SCP、 或其他东西（例如会话策略、IAM 边界、资源策略）。 这意味着错误消息中不会有任何指示 API 调用或在 CloudTrail 日志中显示拒绝调用的原因。这 会使调试问题变得困难。

This article 有一些有用的图表，显示了可能影响/限制访问的不同事物。

Answer 2

我已经解决这个问题四天了，终于想出了一个我认为可以解决它的解决方案。

有两种 CDK 引导程序：传统的和现代的。旧版是默认设置。

旧版引导程序中似乎存在一个错误，该错误会影响某些帐户，而不会影响其他帐户。我能够验证相同的代码在一个帐户上是否适用于我，但在新创建的帐户上产生了此问题的确切症状。

如果您由于某种原因没有使用旧版引导程序，只需转换为现代引导程序即可。这应该会使错误（以及错误的原因）消失。

说明在这里：https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html

基本上，您必须在调用cdk bootstrap 之前设置一个环境变量，然后您必须更改项目中的某些代码或某些配置。

CDK 中存在此功能并不直观，也不能解决此特定问题。但是，它为我清除了它。也许它会对其他人做同样的事情。