Risolvi i messaggi di errore di accesso negato

Una negazione esplicita si verifica quando una politica contiene una Deny dichiarazione per l'azione specifica. AWS

Un diniego implicito si verifica quando non è presente un'istruzione Deny applicabile e non è presente neppure un'istruzione Allow applicabile. Poiché una IAM politica nega un IAM principale per impostazione predefinita, la politica deve consentire esplicitamente al principale di eseguire un'azione. In caso contrario, la policy nega implicitamente l'accesso. Per ulteriori informazioni, consulta Differenza tra rifiuto esplicito e implicito.

Se più politiche dello stesso tipo di politica rifiutano una richiesta, il messaggio di errore di accesso negato non specifica il numero di politiche valutate.

Se più tipi di policy negano una richiesta di autorizzazione, AWS include solo uno di questi tipi di policy nel messaggio di errore.

Controlla se il messaggio di errore include il tipo di policy responsabile del rifiuto dell'accesso. Ad esempio, se l'errore indica che l'accesso è negato a causa di una Service Control Policy (SCP), puoi concentrarti sulla risoluzione dei SCP problemi. Una volta identificato il tipo di policy, è possibile verificare la presenza di dichiarazioni di rifiuto o di azioni di autorizzazione mancanti in tali tipi di policy. Se il messaggio di errore non riporta il tipo di policy responsabile del rifiuto dell'accesso, utilizza le altre linee guida in questa sezione per risolvere i problemi.

Verificare di disporre dell'autorizzazione della policy basata su identità necessaria per chiamare l'operazione e le risorse richieste. Se sono impostate delle condizioni, è necessario soddisfare anche tali condizioni quando si invia la richiesta. Per informazioni sulla visualizzazione o la modifica delle politiche per un IAM utente, un gruppo o un ruolo, consulta. Gestione delle IAM politiche

Se AWS Management Console restituisce un messaggio che indica che non sei autorizzato a eseguire un'azione, devi contattare l'amministratore per ricevere assistenza. L'amministratore ti ha fornito le credenziali di accesso o il link di accesso.

L'errore di esempio seguente si verifica quando l'mateojacksonIAMutente tenta di utilizzare la console per visualizzare i dettagli di una my-example-widget risorsa fittizia ma non dispone delle autorizzazioni fittizie. widgets:GetWidget

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: widgets:GetWidget on resource: my-example-widget

In questo caso, Mateo deve richiedere al suo amministratore di aggiornare le sue policy per poter accedere alla risorsa my-example-widget utilizzando l'operazione widgets:GetWidget.

Stai cercando di accedere a un servizio che supporta politiche basate sulle risorse, come Amazon S3, Amazon o Amazon? SNS SQS In tal caso, verificare che la policy specifichi l'utente come principale capitale e conceda l'accesso. Se si effettua una richiesta a un servizio all'interno dell'account, le policy basate su identità o le policy basate su risorse possono concedere l'autorizzazione. Se si effettua una richiesta a un servizio in un altro account, sia le policy basate su identità che le policy basate su risorse devono concedere l'autorizzazione. Per scoprire quali servizi supportano le policy basate su risorse, consultare la pagina AWS servizi che funzionano con IAM.

Se la policy include una condizione con una coppia chiave-valore, esaminala con attenzione. Gli esempi includono la chiave di condizione aws:RequestTag/tag-key globale AWS KMS kms:EncryptionContext:encryption_context_key, la e la chiave di ResourceTag/tag-key condizione supportata da più servizi. Verifica che il nome della chiave non corrisponda a più risultati. Poiché i nomi delle chiavi di distinzioni non fanno distinzione tra maiuscole e minuscole, una condizione che verifica la presenza di una chiave denominata foo corrisponde a foo, Foo o FOO. Se la richiesta include più coppie chiave-valore con nomi di chiavi che cambiano solo la dimensione dei caratteri, l'accesso potrebbe essere inaspettatamente negato. Per ulteriori informazioni, consulta IAMJSONelementi politici: Condition.

Se è presente un limite delle autorizzazioni, è necessario verificare che la policy utilizzata per il limite delle autorizzazioni consenta la richiesta. Se le policy basate su identità consentono la richiesta, ma il limite delle autorizzazioni non la consente, la richiesta viene rifiutata. Un limite di autorizzazioni controlla le autorizzazioni massime che un IAM principale (utente o ruolo) può avere. Le policy basate su risorse non sono limitate dai limiti delle autorizzazioni. I limiti delle autorizzazioni non sono comuni. Per ulteriori informazioni su come AWS valuta le politiche, vedere. Logica di valutazione delle policy

Se stai firmando le richieste manualmente (senza utilizzare il AWS SDKs), verifica di aver firmato correttamente la richiesta.

Innanzitutto, occorre verificare che l'accesso non venga negato per un motivo non legato alle credenziali temporanee. Per ulteriori informazioni, consulta Ricevo un messaggio di «accesso negato» quando faccio una richiesta a un AWS servizio.

Verificare che il servizio accetti le credenziali di sicurezza temporanee, consultare AWS servizi che funzionano con IAM.

Verifica che le tue richieste vengano firmate correttamente e che il formato della richiesta sia valido. Per ulteriori informazioni, consulta la documentazione del kit di strumenti o Utilizzo di credenziali temporanee con le risorse AWS.

Verifica che le credenziali di sicurezza provvisorie non siano scadute. Per ulteriori informazioni, consulta Credenziali di sicurezza temporanee in IAM.

Verifica che l'IAMutente o il ruolo disponga delle autorizzazioni corrette. Le autorizzazioni per le credenziali di sicurezza temporanee derivano da un IAM utente o da un ruolo. Di conseguenza, le autorizzazioni sono limitate a quelle che vengono concesse al ruolo di cui hai assunto le credenziali temporanee. Per Scopri come vengono determinate le autorizzazioni per le credenziali di sicurezza temporanee, consultare Controllo delle autorizzazioni per le credenziali di sicurezza temporanee.

Se hai assunto un ruolo, la sessione del ruolo potrebbe essere limitata da policy di sessione. Quando richiedi credenziali di sicurezza temporanee a livello di codice AWS STS, puoi facoltativamente passare policy di sessione in linea o gestite. Le policy di sessione sono policy avanzate che vengono passate come parametro durante la creazione di una sessione temporanea per un ruolo a livello di programmazione. È possibile passare un singolo documento di policy di sessione JSON in linea utilizzando il parametro. Policy Puoi utilizzare il parametro PolicyArns per specificare fino a 10 policy di sessione gestite. Le autorizzazioni della sessione risultanti sono l'intersezione tra le policy basate sull'identità del ruolo e le policy di sessione. In alternativa, se l'amministratore o un programma personalizzato fornisce le credenziali temporanee, potrebbero includere policy di sessione per limitare l'accesso.

Se sei un utente federato, la tua sessione potrebbe essere limitata da policy di sessione. Si diventa un utente federato accedendo AWS come IAM utente e quindi richiedendo un token di federazione. Per ulteriori informazioni sugli utenti federati, consulta GetFederationToken: federazione tramite un gestore identità personalizzato. Se l'utente o un gestore identità ha passato policy di sessione durante la richiesta di un token di federazione, la sessione è limitata da quelle policy. Le autorizzazioni della sessione risultanti sono l'intersezione tra le politiche basate sull'identità degli IAM utenti e le politiche di sessione. Per ulteriori informazioni sulle policy di sessione, consulta Policy di sessione.

Se si accede a una risorsa che dispone di una policy basata sulle risorse tramite un ruolo, verificare che la policy conceda le autorizzazioni per il ruolo. Ad esempio, la policy seguente permette MyRole dell'account 111122223333 per l'accesso a MyBucket.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "S3BucketPolicy",
    "Effect": "Allow",
    "Principal": {"AWS": ["arn:aws:iam::111122223333:role/MyRole"]},
    "Action": ["s3:PutObject"],
    "Resource": ["arn:aws:s3:::MyBucket/*"]
  }]
}