排查 IAM 策略问题

策略是 AWS 中的一个实体；在附加到身份或资源时，策略定义它们的权限。在主体（如用户）发出请求时，AWS 将评估这些策略。策略中的权限确定是允许还是拒绝请求。策略作为 JSON 文档存储在 AWS 中，它们作为基于身份的策略 附加到主体或作为基于资源的策略 附加到资源。您可以将基于身份的策略附加到主体（或身份），例如，IAM 组、用户或角色。基于身份的策略包括 AWS 托管策略、客户托管策略和内联策略。您可以在 AWS Management Console 中使用可视化和 JSON 编辑器选项创建和编辑客户管理型策略。在 AWS Management Console中查看策略时，您可以查看该策略授予的权限的摘要。您可以使用可视化编辑器和策略摘要帮助诊断和修复在管理 IAM policy 时遇到的常见错误。

请记住，所有 IAM policy 是使用以 JavaScript 对象表示法 (JSON) 规则开头的语法存储的。您无需了解该语法，即可创建或管理您的策略。您可以在 AWS Management Console中使用可视化编辑器创建和编辑策略。要了解 IAM policy 中的 JSON 语法的更多信息，请参阅。IAM JSON 策略语言的语法

IAM policy 故障排除主题

使用可视化编辑器排除故障

在创建或编辑客户管理型策略时，您可以使用可视化编辑器中的信息帮助纠正策略中的错误。要查看使用可视化编辑器创建策略的示例，请参阅控制对身份的访问。

调整策略结构

在创建策略时，AWS 将在存储之前验证、处理和转换该策略。检索策略后，AWS 无需更改权限即可将其转换回人类可读的格式。这可能会导致您在策略可视化编辑器或 JSON 选项卡中看到的内容有所不同。

由于可能发生这些更改，不应以字符串形式来比较 JSON 策略文档。

在 AWS Management Console 中创建客户管理型策略时，您可以选择完全在 JSON 编辑器中工作。如果从未在可视化编辑器中更改策略，并未从 JSON 选项卡中选择下一步，则不太可能会调整策略结构。当您使用可视化编辑器时，IAM 可能会重构策略以优化其外观。该结构调整仅在您的编辑会话中进行，不会自动进行保存。

如果在您的编辑会话中调整您的策略结构，则 IAM 根据以下情况确定是否保存结构调整：

IAM 可能会调整复杂策略或具有权限块或语句以允很多个服务、资源类型或条件键的策略的结构。

在可视化编辑器中选择资源 ARN

在使用可视化编辑器创建或编辑策略时，您必须先选择一个服务，然后从该服务中选择操作。如果选择的服务和操作支持选择特定的资源，可视化编辑器将列出支持的资源类型。然后，您可以选择添加 ARN 以提供有关您的资源的详细信息。您可以从以下选项中进行选择以添加资源类型的 ARN。

在可视化编辑器中拒绝权限

默认情况下，使用可视化编辑器创建的策略允许执行选择的操作。要拒绝选择的操作，请选择切换到拒绝权限。由于默认拒绝请求，建议您仅允许用户所需的操作和资源的权限。只有在要覆盖其他语句或策略单独允许的权限时，您才应创建拒绝语句。我们建议您将拒绝权限数限制为最低，因为它们可能会增加解决权限问题的难度。有关 IAM 如何评估策略逻辑的更多信息，请参阅 策略评估逻辑。

在可视化编辑器中指定多个服务

在使用可视化编辑器构建策略时，您每次只能选择一个服务。这是最佳实践，因为可视化编辑器允许您从该服务的操作中进行选择。然后，您可以从该服务和选定的操作支持的资源中进行选择。这样，就可以更轻松地创建策略和进行故障排除。

您还可以使用通配符（*）手动指定多个服务。例如，键入 Code*，以便为以 Code 开头的所有服务（如 CodeBuild 和 CodeCommit）提供权限。不过，您必须随后键入操作和资源 ARN 以完成您的策略。此外，在保存您的策略时，可能会调整策略结构以在单独的权限块中包含每个服务。

或者，要在服务中使用 JSON 语法（如通配符），请使用 JSON 编辑器选项创建、编辑和保存策略。

在可视化编辑器中减小策略大小

在使用可视化编辑器创建策略时，IAM 将创建一个 JSON 文档以存储您的策略。您可以切换到 JSON 编辑器选项以查看该文档。如果该 JSON 文档超过策略的大小限制，可视化编辑器将显示错误消息。您将无法查看和保存该策略。要查看 IAM 的托管策略大小限制，请参阅 IAM 和 STS 字符限制。

要在可视化编辑器中减小您的策略大小，请编辑您的策略或将权限块移到另一个策略。错误消息包括策略文档中包含的字符数。您可以使用此信息来帮助缩减策略大小。

在可视化编辑器中修复无法识别的服务、操作或资源类型

您可能会在可视化编辑器中看到一条警告，指出您的策略包含无法识别的服务、操作或资源类型。

如果您的策略包含无法识别的服务、操作或资源类型，则存在以下错误之一：

排查策略摘要问题

您可以诊断并解决与策略摘要相关的问题。

缺少策略摘要

IAM 控制台中提供了策略摘要表，这些表总结了策略中对每个服务允许或拒绝的访问级别、资源和条件。策略在三个表中概括：策略摘要、服务摘要和操作摘要。策略摘要表包括由所选策略定义的服务列表和权限摘要。您可以在策略的策略详细信息页面查看附加到实体的任何策略的策略摘要。可以在 Policies 页面上查看托管策略的策略摘要。如果 AWS 无法呈现策略摘要，您将看到 JSON 策略文档和以下错误：

无法为此策略生成摘要。您仍然可以查看或编辑 JSON 策略文档。

如果您的策略不包含摘要，则已发生下列错误之一：

摘要策略包含无法识别的服务、操作或资源类型

在 IAM 控制台中，如果策略摘要包含警告符号（ ），则策略可能包含无法识别的服务、操作或资源类型。要了解策略摘要内的警告，请参阅策略摘要（服务列表）。

如果您的策略包含无法识别的服务、操作或资源类型，则存在以下错误之一：

服务不支持 IAM policy 摘要

IAM 策略摘要或可视化编辑器可能不支持已正式发布（GA）的服务或操作。公开提供服务是公开发布的服务，不是预览或自定义服务。如果无法识别的服务是公开提供的，并且名称拼写正确，则该服务不支持这些功能。如果您的策略包含的受支持服务具有不受支持的操作，则表示该服务不完全支持 IAM policy 摘要。

要请求包含缺少操作的不同服务，请重复最后三个步骤。

我的策略未授予预期权限

要给用户、组、角色或资源指定权限，您必须创建一个策略，它是一个定义权限的文档。策略文档包含以下元素：

要了解上述及其他策略元素，请参阅IAM JSON 策略元素参考。

要授予访问权限，策略必须定义具有支持资源的操作。如果策略还包含条件，该条件必须包含全局条件键或必须应用至操作。要了解操作支持哪些资源，请参阅服务的 AWS 文档。要了解操作支持哪些条件，请参阅 AWS 服务的操作、资源或条件键。

请检查策略是否定义了未授予权限的操作、资源或条件。使用 IAM 控制台查看您的策略的策略摘要，网址为 https://console.aws.amazon.com/iam/。您可以使用策略摘要识别和纠正策略中的问题。

对于元素不按 IAM policy 中的定义授予权限的情况，原因可能有：

要查看包含警告的策略摘要的示例，请参阅策略摘要（服务列表）。

定义了操作，但没有适用资源

下面的策略定义了所有 ec2:Describe* 操作和一个特定资源。这些操作都不支持资源级权限，因而未授予任何 ec2:Describe 操作。资源级权限意味着操作支持使用策略的 Resource 元素中的 ARN 的资源。如果操作不支持资源级权限，则策略中的语句必须在 * 元素中使用通配符 (Resource)。要了解哪些服务支持资源级权限，请参阅使用 IAM 的AWS服务。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": "ec2:Describe*",
        "Resource": "arn:aws:ec2:us-east-2:ACCOUNT-ID:instance/*"
    }]
}

此策略未提供任何权限，并且策略摘要包含以下错误：

This policy does not grant any permissions. To grant access, policies must have an action that has an applicable resource or condition.

要修复该策略，必须在 * 元素中使用 Resource。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": "ec2:Describe*",
        "Resource": "*"
    }]
}

定义了资源，但没有适用操作

下面的策略定义了 Amazon S3 存储桶资源，但不包含可在该资源上执行的 S3 操作。该策略还向所有 Amazon CloudFront 操作授予完全访问权限。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": "cloudfront:*",
        "Resource": [
            "arn:aws:cloudfront:*",
            "arn:aws:s3:::amzn-s3-demo-bucket"
        ]
    }]
}

该策略为所有 CloudFront 操作提供权限。但由于策略定义了 S3 amzn-s3-demo-bucket 资源而未定义任何 S3 操作，策略摘要将包含以下警告：

This policy defines some actions, resources, or conditions that do not provide permissions. To grant access, policies must have an action that has an applicable resource or condition.

要修复该策略以提供 S3 存储桶权限，必须定义可在存储桶资源上执行的 S3 操作。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "cloudfront:*",
            "s3:CreateBucket",
            "s3:ListBucket*",
            "s3:PutBucket*",
            "s3:GetBucket*"
        ],
        "Resource": [
            "arn:aws:cloudfront:*",
            "arn:aws:s3:::amzn-s3-demo-bucket"
        ]
    }]
}

此外，要修复该策略以只提供 CloudFront 权限，应删除 S3 资源。

定义了条件，但没有适用操作

如果 S3 前缀等于 custom 且版本 ID 等于 1234，下面的策略为所有 S3 资源定义两个 Amazon S3 操作。但是，s3:VersionId 条件键用于对象版本标记，不受所定义的存储桶操作的支持。要了解操作支持哪些条件，请参阅 AWS 服务的操作、资源和条件键，然后选择服务以查看条件键的服务文档。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucketVersions",
                "s3:ListBucket"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:prefix": [
                        "custom"
                    ],
                    "s3:VersionId": [
                        "1234"
                    ]
                }
            }
        }
    ]
}

如果存储桶名称包含 s3:ListBucketVersions 前缀，该策略为 s3:ListBucket 操作和 custom 操作提供权限。但是，由于任何定义的操作都不支持 s3:VersionId 条件，策略摘要将包含以下错误：

This policy does not grant any permissions. To grant access, policies must have an action that has an applicable resource or condition.

要修复该策略以使用 S3 对象版本标记，就必须定义支持 s3:VersionId 条件键的 S3 操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucketVersions",
                "s3:ListBucket",
                "s3:GetObjectVersion"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:prefix": [
                        "custom"
                    ],
                    "s3:VersionId": [
                        "1234"
                    ]
                }
            }
        }
    ]
}

此策略为策略中的每个操作和条件提供权限。但由于不存在单一操作匹配两个条件的情况，策略不提供任何权限。为解决这一问题，您必须创建两个单独的语句，每个语句只包含具有要应用条件的操作。

要修复此策略，请创建两个语句。第一个语句包含支持 s3:prefix 条件的操作，第二个语句包含支持 s3:VersionId 条件的操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucketVersions",
                "s3:ListBucket"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:prefix": "custom"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObjectVersion",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:VersionId": "1234"
                }
            }
        }
    ]
}

策略管理故障排查

您可以诊断并解决与策略管理相关的问题。

在 IAM 账户中附加或分离策略

有些 AWS 托管策略与服务关联。这些策略仅用于该服务的某个服务相关角色。在 IAM 控制台中查看策略详细信息页面时，该页面包含一个横幅，指示该策略与服务关联。您不能将该策略附加到 IAM 内的用户、组或角色。当您为服务创建服务相关角色时，该策略会自动附加到您的新角色。由于策略是必需的，因此您无法将策略与服务相关角色分离。

根据您的 IAM 身份活动更改这些身份的策略

有关使用 CloudTrail 的更多信息，请参阅 AWS CloudTrail 用户指南中的在 CloudTrail 控制台中查看 CloudTrail 事件。

JSON 策略文档故障排查

您可以诊断并解决与 JSON 策略文档相关的问题。

验证您的策略

当您创建或编辑 JSON 策略时，IAM 可以执行策略验证以帮助您创建有效的策略。IAM 可识别 JSON 语法错误，而 IAM Access Analyzer 将提供额外的策略检查和建议，以帮助您进一步优化策略。要了解策略验证的更多信息，请参阅 IAM 策略验证。要了解有关 IAM Access Analyzer 策略检查和可操作建议的更多信息，请参阅 IAM Access Analyzer 策略验证。

我在 JSON 编辑器中没有用于策略验证的权限

在 AWS Management Console 中，如果您没有查看 IAM Access Analyzer 策略验证结果的权限，则可能会收到以下错误：

You need permissions. You do not have the permissions required to perform this operation. Ask your administrator to add permissions.

要纠正该错误，请要求管理员为您添加 access-analyzer:ValidatePolicy 权限。

多个 JSON 策略对象

IAM 策略必须仅包含一个 JSON 对象。可通过在两旁放置 { } 括号来表示对象。您可以通过在外部对中嵌入额外的 {} 大括号，将其他对象嵌套在 JSON 对象中。策略必须仅包含一对最外层的 {} 大括号。以下示例不正确，因为它在顶层包含两个对象 (以红色标示)：

{
      "Version": "2012-10-17",
      "Statement": 
      {
         "Effect":"Allow",
         "Action":"ec2:Describe*",
         "Resource":"*"
      }
    }
    { 
      "Statement": {
         "Effect": "Allow",
         "Action": "s3:*",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
      }
    }

不过，您可以使用正确的策略语法来实现上面示例的意图。可以将两个数据块合并到单个 Statement 元素中，而不是包含两个完整的策略对象（每个都有自己的 Statement 元素）。Statement 元素将两个对象组成的数组作为其值，如以下示例所示 (以粗体标示)：

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ec2:Describe*",
          "Resource":" *"
        },
        {
          "Effect": "Allow",
          "Action": "s3:*",
          "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
      ]
    }

多个 JSON Statement 元素

此错误乍一看似乎是由上一部分变化而来的。但是，它在语法上是不同类型的错误。在以下示例中，顶层只有一个策略对象，由单个 { } 括号对表示。但是，该对象包含两个 Statement 元素。

一个 IAM policy 只能包含一个 Statement 元素，名称 (Statement) 在冒号左侧，它的值在冒号右侧。Statement 元素的值必须是对象，以 { } 括号表示，其中包含一个 Effect 元素、一个 Action 元素和一个 Resource 元素。以下示例不正确，因为策略对象包含两个 Statement 元素 (以红色标示)：

{
      "Version": "2012-10-17",
      "Statement": {
        "Effect": "Allow",
        "Action": "ec2:Describe*",
        "Resource": "*"
      },
      "Statement": {
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
      }
    }

值对象可以是多个值对象组成的数组。为解决此问题，可使用对象数组将两个 Statement 元素组合为一个元素，如下例所示 (以粗体标示)：

{
      "Version": "2012-10-17",
      "Statement": [    {
          "Effect": "Allow",
          "Action": "ec2:Describe*",
          "Resource":"*"
        },
        {
          "Effect": "Allow",
          "Action": "s3:*",
          "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
     ]
    }

Statement 元素的值是对象数组。此示例中的数组包含两个对象，每个对象自身是 Statement 元素的正确值。数组中的每个对象之间用逗号隔开。

在 JSON Statement 元素中具有多个 Effect、Action 或 Resource 元素

在 Statement 名称/值对的值侧，对象只能包含一个 Effect 元素、一个 Action 元素和一个 Resource 元素。以下策略不正确，因为其在 Statement 中有两个 Effect 元素：

{
      "Version": "2012-10-17",
      "Statement": {
        "Effect": "Deny",
        "Effect": "Allow",     
        "Action": "ec2:* ",
        "Resource": "*"
      }
    }

在每种情况下，解决方案都是删除不正确的多余元素。对于 Effect 元素，这十分简单：如果您希望前面的示例拒绝 针对 Amazon EC2 实例的权限，则必须从策略中删除行 "Effect": "Allow",，如下所示：

{
      "Version": "2012-10-17",
      "Statement": {
        "Effect": "Deny",
        "Action": "ec2:* ",
        "Resource": "*"
      }
    }

但是，如果重复元素是 Action 或 Resource，则解决方法可能会更加复杂。您可能需要向多个操作允许 (或拒绝) 权限，或者需要控制对多个资源的访问。例如，以下示例不正确，因为它有多个 Resource 元素 (以红色标示)：

{
      "Version": "2012-10-17",
      "Statement": {
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
      }
    }

Statement 元素的值对象中的每个必需元素都只能出现一次。解决方案是将每个值置于数组中。以下示例通过将两个单独的 Resource 元素合并为一个以数组为值对象的 Resource 元素来对此进行说明 (以粗体标示)：

{	
      "Version": "2012-10-17",
      "Statement": {
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": [
          "arn:aws:s3:::amzn-s3-demo-bucket",
          "arn:aws:s3:::amzn-s3-demo-bucket/*"
        ]
      }
    }

缺少 JSON Version 元素

Version 策略元素与策略版本不同。Version 策略元素用在策略之中，用于定义策略语言的版本。相比之下，当您在 IAM 中更改客户管理型策略时，将创建一个策略版本。已更改的策略不会覆盖现有策略。而是由 IAM 创建新的托管策略版本。要了解 Version 策略元素的更多信息，请参阅IAM JSON 策略元素：Version。要了解策略版本的更多信息，请参阅IAM policy 版本控制。

随着 AWS 功能的发展，为支持这些功能，IAM policy 增加了新的功能。有时，策略语法更新包括新版本号。如果您在策略中使用策略语法的较新功能，则必须向策略分析引擎告知所使用的版本。默认策略版本是“2008-10-17”。如果要使用之后引入的任何策略功能，则必须指定支持所需功能的版本号。我们建议始终 包含最新的策略语法版本号 (目前为 "Version": "2012-10-17")。例如，以下策略是不正确的，因为它在资源的 ARN 中使用 ${...} 策略变量。但是，它无法指定支持该策略变量的策略语法版本（以红色 标示）：

{
  "Statement": 
  {
    "Action": "iam:*AccessKey*",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::123456789012:user/${aws:username}"
  }
}

通过在策略顶层添加值为 2012-10-17（支持策略变量的第一个 IAM API 版本）的 Version 元素，可解决此问题（以粗体标示）：

{
  "Version": "2012-10-17",
  "Statement": 
  {
    "Action": "iam:*AccessKey*",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::123456789012:user/${aws:username}"
  }
}