Direkt zum Inhalt
Durch die Nutzung von AWS re:Post stimmt du den AWS re:Post Nutzungsbedingungen
AWS re:Postre:Post
Über re:Post

Wie behebe ich den IAM-Benutzerfehler „not authorized to perform iam:PassRole“?

Lesedauer: 2 Minute
0

Ich habe versucht, eine API-Aktion mit einem AWS Identity and Access Management (IAM)-Benutzer durchzuführen, um eine Rolle an einen AWS-Service zu übergeben. Die API-Aktion ist fehlgeschlagen, und ich habe einen Fehler ähnlich dem folgenden erhalten: „You are not authorized to perform this operation. User: arn:aws:iam::123456789012:user/Bob is not authorized to perform: iam:PassRole on resource: arn:aws:iam::123456789012:role/ExampleRole because no identity-based policy allows the iam:PassRole action.“

Kurzbeschreibung

Einige AWS-Services ermöglichen es dir, eine bestehende IAM-Rolle an diesen Service zu übergeben, sodass du keine neue Servicerolle erstellen musst. Du musst jedoch über die Berechtigung verfügen, die IAM-Rolle an den AWS-Service zu übergeben.

Lösung

Um dieses Problem zu beheben, aktualisiere die IAM-Richtlinie, damit der IAM-Benutzer die API-Aktion iam:PassRole für den AWS-Service ausführen kann.

Hinweis: Du kannst die Berechtigung PassRole nur verwenden, um eine IAM-Rolle an einen AWS-Service zu übergeben, der dasselbe AWS-Konto teilt, nicht an ein anderes Konto. Weitere Informationen findest du unter Kontoübergreifender Zugriff auf Ressourcen in IAM.

Die folgende beispielhafte IAM-Richtlinie ermöglicht es einem IAM-Benutzer, die Rolle namens ExampleRole an den Amazon Elastic Compute Cloud (Amazon EC2)-Service zu übergeben:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-ID:role/ExampleRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        }
    ]
}

Hinweis: Ersetze ExampleRole durch deine Rolle und account-ID durch deine Konto-ID.

Schließe einen spezifischen Ressourcen-ARN im Element Resource (Ressource) ein, um die Fähigkeit der Benutzer einzuschränken, die Rolle an andere Benutzer zu übergeben, und um das Problem des verwirrten Stellvertreters zu verhindern. Weitere Informationen findest du unter Erteilen Sie einem Benutzer die Berechtigung, eine Rolle an einen zu übergeben AWS Service nicht zulässig.

Ähnliche Informationen

How to use the PassRole permission with IAM roles (So verwendest du die PassRole-Berechtigung mit IAM-Rollen)