如何對 Quick Suite 中的 AWS 資源權限錯誤進行疑難排解？

簡短說明

如果您在 AWS Identity and Access Management (IAM) 主控台中編輯 Quick Suite 對您 AWS 資源的權限，那麼您可能會收到以下錯誤：

• 「The role used by Quick Suite for AWS resource access was modified to an un-recoverable state outside of Quick Suite, so you can no longer edit AWS resource permissions in Quick Suite.」
• 「We were unable to update Quick Suite permissions for AWS resources.Either you are not authorized to edit Quick Suite permissions on AWS resources, or the Quick Suite permissions were changed using the IAM console and are therefore no longer updateable through Quick Suite.」
• 「We cannot update the IAM Role」
• 「Quick Suite has detected unknown policies attached to following roles please detach them and retry」
• 「Something went wrong For more information see Set IAM policy」

最佳實務是在 Quick Suite 主控台中編輯 Quick Suite 對 AWS 資源的權限。

解決方法

當 Quick Suite 與其他 AWS 服務互動時，Quick Suite 會擔任 aws-quicksight-service-role-v0 和 aws-quicksight-s3-consumers-role-v0 服務角色，然後將受管政策附加到這些角色。請移除這些服務角色，然後移除附加的受管政策。最後，還原 Quick Suite 對您 AWS 服務的存取權。

**重要：**在刪除 IAM 政策之前，請務必先備份這些政策。您可以使用備份來參考先前可存取的 Amazon Simple Storage Service (Amazon S3) 帳戶資源。

驗證 Quick Suite 和 IAM 權限，然後移除服務角色和政策

請完成以下步驟：

1. 檢視您的 Quick Suite 使用者帳戶，並確認您有一個具備 ADMIN 角色的使用者。

2. 開啟 IAM console (IAM 主控台)。

3. (選用) 如果您尚未執行此操作，請先建立 IAM 使用者管理員。

4. 請確認您的 IAM 政策允許您建立和刪除 Quick Sight 服務及角色。 
   IAM 政策範例：

   {  
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "VisualEditor0",
         "Effect": "Allow",
         "Action": [
           "iam:GetRole",
           "iam:DetachRolePolicy",
           "iam:DeleteRole",
           "iam:AttachRolePolicy",
           "iam:CreateRole"
         ],
         "Resource":[
            "arn:aws:iam::Account-id:role/service-role/aws-quicksight-service-role-v0"
            "arn:aws:iam::Account-id:role/service-role/aws-quicksight-s3-consumers-role-v0"
         ]
       },
       {
         "Sid": "VisualEditor1",
         "Effect": "Allow",
         "Action": [
           "iam:ListPolicies",
           "iam:GetPolicyVersion",
           "iam:GetRole",
           "iam:GetPolicy",
           "iam:ListPolicyVersions",
           "iam:ListAttachedRolePolicies",
           "iam:GenerateServiceLastAccessedDetails",
           "iam:ListEntitiesForPolicy",
           "iam:ListPoliciesGrantingServiceAccess",
           "iam:ListRoles",
           "iam:GetServiceLastAccessedDetails",
           "iam:ListAccountAliases",
           "iam:ListRolePolicies",
           "s3:ListAllMyBuckets"
         ],
         "Resource": "*"
       },
       {
         "Sid": "VisualEditor2",
         "Effect": "Allow",
         "Action": [
           "iam:DeletePolicy",
           "iam:CreatePolicy",
           "iam:CreatePolicyVersion",
           "iam:DeletePolicyVersion"
         ],
         "Resource": [
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightIAMPolicy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightRDSPolicy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightS3Policy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightRedshiftPolicy"
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightS3ConsumersPolicy"
         ]
       }
     ]
   }

5. 在導覽窗格中，選擇 Roles (角色)。

6. 在角色搜尋窗格中，找出並刪除 aws-quicksight-service-role-v0 和 aws-quicksight-s3-consumers-role-v0 IAM 角色。
   **注意：**當您在 Quick Suite 中設定權限時，Quick Suite 會自動建立這些服務角色。如果 Quick Suite 未建立 aws-quicksight-s3-consumers-role-v0 角色，請刪除 aws-quicksight-service-role-v0 角色，然後繼續。

7. 在導覽窗格中，選擇 Policies (政策)。

8. 在政策搜尋窗格中，找出並刪除客戶管理 IAM 政策。例如，刪除步驟 4 中 IAM 政策範例內的以下客戶管理政策：
   AWSQuickSightRedshiftPolicy
   AWSQuickSightRDSPolicy
   AWSQuickSightIAMPolicy
   AWSQuickSightS3Policy
   AWSQuickSightS3ConsumersPolicy
   **注意：**所提及的政策僅涵蓋與 Quick Suite 關聯的部分服務。若要完整解決 IAM 政策衝突，請移除所有透過 IAM 直接新增且連結至 Quick Suite 的客戶管理政策。

還原 Quick Suite 對您 AWS 服務的存取權

請完成以下步驟：

1. 開啟 Quick Suite console (Quick Suite 主控台)。
2. 在應用程式列上選擇您的使用者名稱，然後選擇 Manage Quick Suite (管理 Quick Suite)。
3. 在導覽窗格的 Permissions (權限) 下方，選擇 AWS resources (AWS 資源)。
4. 在 Quick Suite access to AWS services (Quick Suite 對 AWS 服務的存取權)，選擇您要還原的 AWS 服務。
5. 選擇 Save (儲存)。

**注意：**當您允許 Quick Suite 存取 AWS 資源時，Quick Suite 會使用 AWS 受管政策。例如，Quick Suite 會使用 AWSQuicksightAthenaAccess 政策來控制對某些 AWS 資源的存取權。您無法移除 AWS 受管政策。

如需更多為 Quick Sight 設定對其他 AWS 服務中資源存取的資訊，請參閱設定 Amazon Quick Sight 對 AWS 資料來源的存取權。