¿Cómo soluciono el error «Tiene una entidad principal de campo prohibida» que se muestra al crear o actualizar una política de IAM?

Resolución

Si su política basada en identidades de IAM incluye el elemento de entidad principal, se mostrará el error «Tiene una entidad principal de campo prohibida». Puede usar el elemento entidad principal solo en políticas basadas en recursos para controlar la identidad de IAM a la que se le permite acceder al recurso. No es necesario usar el elemento entidad principal en una política basada en identidades porque la política se adjunta a las identidades de IAM.

Asegúrese de crear su política basada en recursos en el servicio de AWS asociado a su recurso. Para comprobar si un servicio de AWS utiliza políticas basadas en recursos, consulte los servicios de AWS que funcionan con IAM.

La única política basada en recursos que puede crear para un rol en IAM es una política de confianza. Para agregar o eliminar los permisos del rol de IAM, asegúrese de actualizar la política de confianza del rol en lugar de la política de permisos.

Ejemplo de política de confianza de roles:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Ejemplo de política de permisos:

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::111122223333/Test"
  }
}

Información relacionada

Políticas basadas en identidades y políticas basadas en recursos

¿Cómo puedo usar IAM para acceder a los recursos de otra cuenta de AWS?

Concesión de permisos de usuario para cambiar de rol