AWS IAM 理解问题

Question

我正在运行一个 lambda，它将通过使用 boto3 自动触发一个理解作业。

但是，由于某种原因，我的 IAM 无法正常工作！我对该职位的角色拥有以下权限：

• IAMFullAccess
• AmazonS3FullAccess
• 理解完全访问
• AWSLambdaExecute

但是，当在理解中创建作业时，它会立即失败并显示以下错误消息：

NO_WRITE_ACCESS_TO_OUTPUT: The provided data access role does not have write access to the output S3 URI.

关于如何解决这个问题的任何想法？我已授予角色完整的 S3 权限？

Answer 1

您能否检查您的角色的信任政策，看看 comprehend 是否受信任？

此处的信任策略示例 - https://docs.aws.amazon.com/comprehend/latest/dg/access-control-managing-permissions.html

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "comprehend.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Answer 2

所有 IAM API 调用都是异步的。因此，如果您通过 boto3 创建角色和策略并立即假设它们并运行理解，它们可能不起作用。您可以通过睡眠等待几秒钟或使用重试机制。我就是这样解决这个问题的。