AWS IAM 角色权限问题

Question

我们刚刚在 EC2 实例上构建了一个托管在 AWS 上的新 Things Enterprise 服务器，并创建了一个使用 AWS IOT 的应用程序。我们收到以下错误

“消息”：“用户：arn:aws:sts::446971925991:assumed-role/Things-Enterprise-Stack-Srv-StackIAMRole-DBHBSMSY05AQ/i-095895d605fab3fa4 无权执行：sts:AssumeRole 对资源： arn:aws:iam::446971925991:role/Bosh-Parking-IOT-Stack-TheThingsStackRoleCD9FBAD2-C44RRJJ53M93”

有人告诉我

尝试担任该角色的 TTES 实例的执行角色是什么？角色 TTES 需要能够承担该角色。这将提供正确的权限。

但我不确定这意味着什么，我假设我需要在 IAM 角色中添加/更改一些权限。有人可以指出我正确的方向吗？

Answer 1

从错误消息看来，您的IAM role for Amazon EC2 似乎没有担任角色的权限 Bosh-Parking-IOT-Stack-TheThingsStackRoleCD9FBAD2-C44RRJJ53M93。

要手动添加此类权限，您可以执行以下操作：

1. 转到IAM Console->Roles。
2. 在Roles 窗口中，您可以使用Search 栏定位Things-Enterprise-Stack-Srv-StackIAMRole-DBHBSMSY05AQ 角色。
3. 找到角色后，点击Add inline policy。
4. Create policy 窗口显示后，您可以转到 JSON tab 并添加以下 JSON 策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::446971925991:role/Bosh-Parking-IOT-Stack-TheThingsStackRoleCD9FBAD2-C44RRJJ53M93"
        }
    ]
}

5. 然后点击Review Policy，命名策略（例如PolicyToAssumeRole）和Create policy

但是，根据您的策略名称（例如 Stack-Srv-StackIAMRole），它们可能是由 CloudFormation 创建的。如果是这种情况，那么如上所述手动更改角色是一种不好的做法，将导致drift。对 CloudFormation 创建的资源的任何更改都应使用 CloudFormation 完成。遗憾的是，您的问题没有提供有关使用的 CloudFormation 模板的任何详细信息，因此很难对此发表评论。