amazon-web-services - 如果 AWS API 请求失败，我该如何调试我需要的权限？

Question

我正在使用 Terraform 在 AWS 上配置一些资源。运行 Terraform 的“计划”步骤失败，并显示以下模糊错误(例如):

Error: Error loading state: AccessDenied: Access Denied
        status code: 403, request id: ABCDEF12345678, host id: SOMELONGBASE64LOOKINGSTRING===

给定一个请求 id 和一个主机 id 是否可以更深入地了解出了什么问题？

设置 TF_LOG=DEBUG(或其他级别)似乎有帮助，但我很好奇是否有 CLI 命令可以从 CloudTrail 或其他东西获取更多信息。

谢谢!

Answer 1

Terraform 没有任何关于拒绝访问的特权信息，但 AWS 有。因为您提到 S3 是我的问题，所以我的回答是基于查找 S3 请求 ID。您有多种选择可以在 AWS 中根据请求 ID 查找请求。

创建一个 trail in AWS CloudTrail .默认情况下，CloudTrail 将在存储桶级别记录 API 调用(包括请求 ID)。如果请求是针对特定对象的，则需要在创建跟踪时启用 S3 数据事件。

开启 S3 server access logs .

您可以在 S3 的日志文件中手动搜索请求 ID 或使用 Athena。对于 CloudTrail，您还可以配置 CloudWatch Logs 并在通过搜索栏创建的日志组中进行搜索。

CloudTrail 记录来自所有服务的 API 调用，而不仅仅是 S3。除了与 S3 相关的问题之外，它可能是诊断问题的有用工具。请注意，日志显示在 CloudTrail 中最多可能会有 15 分钟的延迟。