amazon-web-services - 为什么我无法访问 AWS IAM 列表，尽管我拥有所有 IAM 权限？

Question

当我尝试在 aws 上访问 IAM 仪表板时，出现以下错误。

User: arn:aws:iam::9490xxxxxxxx:user/xyz is not authorized to perform: iam:ListUsers on resource: arn:aws:iam::9490xsxxxxxxx:user/ 

事实是，IAMFullPermission我的帐户附有保单，如下所示：-

我不知道，我仍然需要提供什么权限。

提前致谢。

Answer 1

正如 Rajesh 评论的那样，登录控制台并打开策略模拟器将允许您选择您的用户和 iam:ListUsers 权限并模拟评估以找到失败的确切原因。

https://policysim.aws.amazon.com/home/index.jsp?#users

该附加策略的屏幕截图将赋予该用户/角色从多个内置 AWS 策略访问 iam:ListUsers 的权限，并且该错误消息表明用户没有权限（即缺少允许策略而不是显式拒绝）。

在确定 IAM 错误的原因时，我尝试以下操作：

1. 响应是否显示为缓存？（进行更改以允许操作然后立即再次尝试并不总是有效。您可以通过调用不允许的 API 使用 CLI 进行测试。第一次调用将比后续调用稍慢。IAM 更改也可以传播时间）。
2. 政策模拟器说什么？（在考虑需要 MFA 或 MFA 年龄等条件的更复杂的政策时特别有用）

Policy Simulator 将缩小范围，例如：

1. 用户实际上没有附加该策略
2. 用户是具有明确拒绝策略的组的一部分（这里看起来不是这种情况）
3. 其他不满足但不立即显现的条件。例如，需要 MFA 或资源限制，仅允许访问以管理自己的用户详细信息。