amazon-web-services - AWS Cloudformation IAM - 无法创建 iam 用户

Question

我正在使用云形成创建 IAM 用户，但出现以下错误:

“API:iam:CreateUser 用户:arn:aws:sts::11111111111:assumed-role/MyCloudFormationRole/AWSCloudFormation 无权对资源执行:iam:CreateUser:arn:aws:iam::11111111111:user/明确拒绝的 username1"

我已经创建了 MyCloudFormationRole 并为其授予了完整的 iam 访问权限 (iam:*)，并且我正在使用此角色运行 cloudformation 命令。

创建堆栈命令:

aws cloudformation create-stack --stack-name my-users --template-body file://C:/template.yml --parameters file://C:/parameters.json --role-arn arn:aws:iam::11111111111:role/MyCloudFormationRole --capabilities CAPABILITY_NAMED_IAM

这里有什么遗漏吗？

Answer 1

当您不被允许做某事时，要么是因为您缺乏权限，要么是有人明确禁止。在您的情况下，“明确拒绝”表明情况是后者。这些策略可以位于不同位置:

• 身份政策
• 资源政策
• session 政策
• 权限边界
• SCP

您只需检查哪一个拒绝了该请求。

参见https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html