Beheben von Fehlermeldungen bei verweigertem Zugriff

Eine explizite Ablehnung liegt vor, wenn eine Richtlinie eine Deny Anweisung für eine bestimmte Aktion enthält. AWS

Eine implizite Verweigerung tritt auf, wenn es keine entsprechende Deny-Anweisung, aber auch keine anwendbare Allow-Anweisung gibt. Da eine IAM-Richtlinie einen IAM-Prinzipal standardmäßig verweigert, muss die Richtlinie dem Prinzipal ausdrücklich erlauben, eine Aktion auszuführen. Andernfalls verweigert die Richtlinie implizit den Zugriff. Weitere Informationen finden Sie unter Der Unterschied zwischen expliziten und impliziten Zugriffsverweigerungen.

Wenn mehrere Richtlinien desselben Richtlinientyps eine Anfrage ablehnen, wird in der Fehlermeldungen bei verweigertem Zugriff nicht die Anzahl der ausgewerteten Richtlinien angegeben.

Wenn mehrere Richtlinientypen eine Autorisierungsanfrage ablehnen AWS , wird nur einer dieser Richtlinientypen in die Fehlermeldung aufgenommen.

Prüfen Sie, ob die Fehlermeldung den Typ und den Amazon-Ressourcennamen (ARN) der Richtlinie enthält, die für die Zugriffsverweigerung verantwortlich ist. Wenn dies der Fall ist, suchen Sie in der angegebenen Richtlinie nach Verweigerungsanweisungen für die Aktion. Wenn der Richtlinientyp angegeben wird, aber kein Richtlinien-ARN vorhanden ist, konzentrieren Sie sich auf die Behebung von Problemen für diesen Richtlinientyp: Suchen Sie nach Ablehnungsanweisungen für die Aktion in Richtlinien des angegebenen Typs. Wenn in der Fehlermeldung der Richtlinientyp, der für die Verweigerung des Zugriffs verantwortlich ist, nicht erwähnt wird, verwenden Sie die restlichen Richtlinien in diesem Abschnitt, um weitere Probleme zu beheben.

Stellen Sie sicher, dass Sie über die identitätsbasierten Richtlinienberechtigungen zum Aufrufen der Aktion und Ressource verfügen, die Sie angefordert haben. Wenn Bedingungen definiert sind, müssen Sie diese Bedingungen beim Senden der Anforderung ebenfalls erfüllen. Weitere Informationen zum Anzeigen oder Ändern von Richtlinien für einen IAM-Benutzer, einer -Gruppe oder -Rolle finden Sie unter Verwalten von IAM-Richtlinien.

Wenn die eine Meldung AWS-Managementkonsole zurückgibt, die besagt, dass Sie nicht berechtigt sind, eine Aktion auszuführen, müssen Sie Ihren Administrator um Unterstützung bitten. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen oder Anmelde-Link zur Verfügung gestellt.

Der folgende Beispielfehler tritt auf, wenn der mateojackson-IAM-Benutzer versucht, die Konsole zum Anzeigen von Details zu einem my-example-widget zu verwenden, jedoch nicht über widgets:GetWidget-Berechtigungen verfügt.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: widgets:GetWidget on resource: my-example-widget

In diesem Fall bittet Mateo seinen Administrator um die Aktualisierung seiner Richtlinien, um unter Verwendung der Aktion my-example-widget auf die Ressource widgets:GetWidget zugreifen zu können.

Versuchen Sie, auf einen Service zuzugreifen, der Ressourcenbasierte Richtlinien wie Amazon S3, Amazon SNS oder Amazon SQS unterstützt? Wenn dies der Fall ist, stellen Sie sicher, dass Sie in der Ressourcenrichtlinie als Auftraggeber aufgeführt sind und Ihnen Zugriff erteilt wurde. Wenn Sie eine Anfrage an einen Service innerhalb Ihres Kontos machen, können Ihnen entweder Ihre identitätsbasierte Richtlinien oder die ressourcenbasierten Richtlinien Berechtigung erteilen. Wenn Sie eine Anfrage an einen Service in einem anderen Kontos machen, dann müssen Ihnen sowohl Ihre identitätsbasierte Richtlinien als auch die ressourcenbasierten Richtlinien die Berechtigung erteilen. Informationen dazu, welche Services ressourcenbasierte Richtlinien unterstützen, finden Sie unter AWS Services, die mit IAM funktionieren.

Wenn Ihre Richtlinie eine Bedingung mit einem Schlüssel-Wert-Paar umfasst, überprüfen Sie sie sorgfältig. Beispiele hierfür sind der aws:RequestTag/tag-key globale Bedingungsschlüssel AWS KMS kms:EncryptionContext:encryption_context_key, der und der ResourceTag/tag-key Bedingungsschlüssel, der von mehreren Diensten unterstützt wird. Stellen Sie sicher, dass der Schlüsselname nicht mit mehreren Ergebnissen übereinstimmt. Da bei Bedingungsschlüsselnamen die Groß-/Kleinschreibung nicht berücksichtigt wird, gibt eine Bedingung, die nach einem Schlüssel namens foo sucht, foo, Foo oder FOO. Wenn Ihre Anforderung mehrere Schlüssel-Wert-Paare mit Schlüsselnamen enthält, die sich nur durch die Groß- und Kleinschreibung unterscheiden, wird der Zugriff möglicherweise unerwartet verweigert. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung.

Wenn Sie eine Berechtigungsgrenze haben, überprüfen Sie, ob die für die Berechtigungsgrenze verwendete Richtlinie Ihre Anfrage zulässt. Wenn Ihre identitätsbasierten Richtlinien die Anforderung zulassen, Ihre Berechtigungsgrenze dies jedoch nicht tut, wird die Anforderung abgelehnt. Eine Berechtigungsgrenze steuert die maximale Anzahl an Berechtigungen, die ein IAM-Prinzipal (Benutzer oder Rolle) haben kann. Resource-based Richtlinien sind nicht durch Berechtigungsgrenzen begrenzt. Berechtigungsgrenzen sind nicht allgemein üblich. Weitere Informationen zur AWS Auswertung von Richtlinien finden Sie unterAuswertungslogik für Richtlinien.

Wenn Sie API-Anfragen manuell signieren (ohne Verwendung von AWS -SDKs), stellen Sie sicher, dass Sie die Anfrage korrekt signiert haben.

Wenn Sie eine Amazon-VPC-Endpunktrichtlinie verwenden und eine Fehlermeldung erhalten, dass der Zugriff verweigert wurde, die in AWS CloudTrail nicht protokolliert wird, könnte dies daran liegen, dass sich das Konto des VPC-Endpunktbesitzers vom aufrufenden Konto oder vom Zielrollenkonto unterscheidet.

Stellen Sie zunächst sicher, dass der Zugriff nicht aus einem Grund verweigert wird, der nicht mit Ihren temporären Anmeldeinformationen in Verbindung steht. Weitere Informationen finden Sie unter Ich erhalte die Meldung „Zugriff verweigert“, wenn ich eine Anfrage an einen stelle AWS Service nicht zulässig.

Überprüfen Sie, dass der Service temporäre Sicherheitsanmeldeinformationen zulässt. Informationen dazu finden Sie unter AWS Services, die mit IAM funktionieren.

Stellen Sie sicher, dass Ihre Anfragen korrekt signiert sind und die Anfrage richtig aufgebaut ist. Weitere Informationen finden Sie in der Dokumentation zum Toolkit oder unter Verwenden Sie temporäre Anmeldeinformationen mit AWS Ressourcen.

Stellen Sie sicher, dass die temporären Sicherheitsanmeldeinformationen nicht abgelaufen sind. Weitere Informationen finden Sie unter Temporäre IAM Sicherheitsanmeldeinformationen.

Überprüfen Sie, ob der IAM-Benutzer oder die IAM-Rolle über die richtigen Berechtigungen verfügt. Berechtigungen für temporäre Sicherheitsanmeldeinformationen werden von einem IAM-Benutzer oder einer Rolle abgeleitet. Dies hat zur Folge, dass die Berechtigungen auf diejenigen beschränkt sind, die der Rolle gewährt werden, deren temporäre Anmeldeinformationen Sie angenommen haben. Weitere Informationen zum Festlegen von Berechtigungen in temporären Sicherheitsanmeldeinformationen finden Sie unter Berechtigungen für temporäre Sicherheits-Anmeldeinformationen.

Wenn Sie eine Rolle übernommen haben, wird Ihre Rollensitzung möglicherweise durch Sitzungsrichtlinien eingeschränkt. Wenn Sie programmgesteuert temporäre Sicherheitsanmeldeinformationen anfordern AWS STS, können Sie optional Inline- oder verwaltete Sitzungsrichtlinien übergeben. Sitzungsrichtlinien sind erweiterte Richtlinien, die Sie als Parameter übergeben, wenn Sie programmgesteuert eine Sitzung mit temporären Anmeldeinformationen für eine Rolle erstellen. Sie können ein einzelnes JSON-Inline-Sitzungsrichtliniendokument mit dem Policy-Parameter übergeben. Sie können mit dem Parameter PolicyArns bis zu 10 verwaltete Sitzungsrichtlinien angeben. Die resultierenden Sitzungsberechtigungen sind eine Schnittmenge der auf der Identität des Benutzers oder der Rolle basierenden Richtlinien und der Sitzungsrichtlinien. Es kann auch sein, dass, wenn Ihr Administrator oder ein benutzerdefiniertes Programm Ihnen temporäre Anmeldeinformationen bereitstellt, bereits eine Sitzungsrichtlinie zum Einschränken Ihres Zugriffs enthalten ist.

Wenn Sie ein AWS STS Verbundbenutzer-Hauptbenutzer sind, ist Ihre Sitzung möglicherweise durch Sitzungsrichtlinien eingeschränkt. Sie erstellen eine Verbundbenutzersitzung, indem Sie sich AWS als IAM-Benutzer anmelden und dann ein Verbund-Token anfordern. Weitere Informationen finden Sie unter Anfordern von Anmeldeinformationen über einen benutzerdefinierten Identity Broker. Wenn Sie oder Ihr Identity Broker während der Anforderung eines Verbund-Tokens Sitzungsrichtlinien übergeben haben, wird Ihre Sitzung durch diese Richtlinien beschränkt. Die resultierenden Sitzungsberechtigungen sind eine Schnittmenge der auf der Identität des IAM-Benutzers basierenden Richtlinien und der Sitzungsrichtlinien. Weitere Informationen zu Sitzungsrichtlinien finden Sie unter Sitzungsrichtlinien.

Wenn Sie auf eine Ressource mit einer ressourcenbasierten Richtlinie über eine Rolle zugreifen, überprüfen Sie, ob die Richtlinie der Rolle Berechtigungen erteilt. Die folgende Richtlinie beispielsweise erteilt MyRole im Konto 111122223333 die Zugriffsberechtigung auf amzn-s3-demo-bucket.