AWS 信任策略已禁止字段 Principal答案

【问题标题】：AWS Trust Policy Has prohibited field PrincipalAWS 信任策略已禁止字段 Principal
【发布时间】：2020-01-21 17:48:07
【问题描述】：

我正在尝试根据Attach an AWS IAM Role to an Existing Amazon EC2 Instance by Using the AWS CLI创建一个IAM角色并将其分配给EC2实例。

政策如下所示：

{
 "Version": "2012-10-17",
 "Statement": [
 {
    "Effect": "Allow",
    "Principal": {
    "Service": "ec2.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }
 ]

}

但它给出了这个错误：

This policy contains the following error: Has prohibited field Principal

这里有一个类似的问题，但它无法解决这个问题。

任何帮助将不胜感激。

【问题讨论】：

标签： amazon-web-services amazon-iam

【解决方案1】：

在尝试更新“信任关系”或称为“信任策略”时遇到了同样的问题。 “校长”只在“信任政策”中发挥作用。可能是您错误地更新了权限选项卡下的正常策略。尝试更新“信任关系”选项卡下的策略，如下所示：

    {
      "Version": "2012-10-17",
      "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
           "Service": [
           "ec2.amazonaws.com",
           "lambda.amazonaws.com"
           ]
          },
         "Action": "sts:AssumeRole"
       }
     ] 
   }

【讨论】：

这解决了我的问题，我一直在查看权限选项卡

【解决方案2】：

创建服务角色的最简单方法是：

转到 IAM 控制台
点击角色
创建新角色
选择一个Amazon EC2服务角色
然后附上您的政策

它将为您创建信任策略。

请注意，信任策略存储在与实际策略（分配权限的位）不同的位置。根据错误消息，您似乎将信任策略置于正常位置，因为角色不需要原则（但信任策略需要）。

【讨论】：

信任策略与标准策略是分开的 - 如果您不知道单独的字段，这可能会让您感到困惑。
创建角色后，点击它，然后您会看到一个“信任关系”选项卡，您可以在其中放置策略
这个解决方案对我不起作用。我有同样的问题，但我的 SAML 角色。在这里解释一下；你能检查一下吗：stackoverflow.com/questions/55965973/…

【解决方案3】：

在存储桶中写入策略 --> 权限 --> 存储桶策略 --> 保存

注意：不要在 iam 控制台中编写策略，并且存储桶和云观察区域必须相同。其他地区就不行了。

使用以下政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.YOUR-CLOUD-WATCH-REGION.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::YOUR-BUCKET-NAME"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.YOUR-CLOUD-WATCH-REGION.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::YOUR-BUCKET-NAME/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control"
                }
            }
        }
    ]
}

【讨论】：