Wie behebe ich AWS-Ressourcenberechtigungsfehler in Amazon QuickSight?

Lesedauer: 4 Minute

Ich habe versucht, Amazon QuickSight-Berechtigungen für AWS-Ressourcen zu bearbeiten, und habe eine Fehlermeldung erhalten.

Kurzbeschreibung

Wenn Sie Amazon QuickSight-Berechtigungen bearbeiten, wird möglicherweise einer der folgenden Fehler angezeigt:

„Die von QuickSight für den AWS-Ressourcenzugriff verwendete Rolle wurde außerhalb von QuickSight in einen nicht wiederherstellbaren Zustand geändert, sodass Sie AWS-Ressourcenberechtigungen in QuickSight nicht mehr bearbeiten können.“
„Wir konnten die QuickSight-Berechtigungen für AWS-Ressourcen nicht aktualisieren. Entweder sind Sie nicht berechtigt, QuickSight-Berechtigungen für AWS-Ressourcen zu bearbeiten, oder die QuickSight-Berechtigungen wurden mithilfe der IAM-Konsole geändert und können daher nicht mehr über QuickSight aktualisiert werden.“
„Wir können die IAM-Rolle nicht aktualisieren“
„QuickSight hat unbekannte Richtlinien entdeckt, die folgenden Rollen zugeordnet sind. Bitte trennen Sie sie und versuchen Sie es erneut.“
„Etwas ist schief gelaufen. Weitere Informationen finden Sie unter IAM-Richtlinie einrichten“

Diese Fehler treten auf, wenn Sie die QuickSight-Berechtigungen für Ihre AWS-Ressourcen von der AWS Identity and Access Management (IAM) -Konsole aus bearbeiten.

**Hinweis:**Es hat sich bewährt, QuickSight-Berechtigungen für AWS-Ressourcen mithilfe der Amazon QuickSight-Konsole und nicht mit der IAM-Konsole zu bearbeiten.

Behebung

Entfernen Sie die Servicerollen aws-quicksight-service-role-v0 und aws-quicksight-s3-consumers-role-v0, die QuickSight bei der Interaktion mit anderen AWS-Services übernimmt. Entfernen Sie dann die Verwalteten Richtlinien, die QuickSight den Servicerollen aws-quicksight-service-role-v0 und aws-quicksight-s3-consumers-role-v0 anfügt. Stellen Sie abschließend den QuickSight-Zugriff auf Ihre AWS-Services wieder her.

Wichtig: Bevor Sie beginnen, stellen Sie sicher, dass Sie eine Sicherungskopie Ihrer IdiAM-Richtlinien haben, bevor Sie sie löschen. Das Backup kann Ihnen dabei helfen, auf alle Amazon Simple Storage Service (Amazon S3) -Kontoressourcen zu verweisen, auf die Sie zuvor Zugriff hatten.

Überprüfen Sie die IAM, QuickSight- und IAM-Berechtigungen und entfernen Sie dann die Servicerollen und Richtlinien

Folgen Sie den Anweisungen, um QuickSight-Benutzerkonten anzuzeigen. Stellen Sie sicher, dass Sie einen Benutzer mit einer ADMIN-Rolle haben.
Öffnen Sie die IAM-Konsole.
(Optional) Folgen Sie den Anweisungen zum Erstellen eines IAM-Benutzeradministrators, falls Sie dies noch nicht getan haben.

Stellen Sie sicher, dass Ihre IAM-Richtlinie es Ihnen ermöglicht, QuickSight-Dienste und Rollen zu erstellen und zu löschen, die den folgenden ähneln:

{  
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:DetachRolePolicy",
        "iam:DeleteRole",
        "iam:AttachRolePolicy",
        "iam:CreateRole"
      ],
      "Resource":[
         "arn:aws:iam::<Account-id>:role/service-role/aws-quicksight-service-role-v0"
         "arn:aws:iam::<Account-id>:role/service-role/aws-quicksight-s3-consumers-role-v0"
      ]
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "iam:ListPolicies",
        "iam:GetPolicyVersion",
        "iam:GetRole",
        "iam:GetPolicy",
        "iam:ListPolicyVersions",
        "iam:ListAttachedRolePolicies",
        "iam:GenerateServiceLastAccessedDetails",
        "iam:ListEntitiesForPolicy",
        "iam:ListPoliciesGrantingServiceAccess",
        "iam:ListRoles",
        "iam:GetServiceLastAccessedDetails",
        "iam:ListAccountAliases",
        "iam:ListRolePolicies",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor2",
      "Effect": "Allow",
      "Action": [
        "iam:DeletePolicy",
        "iam:CreatePolicy",
        "iam:CreatePolicyVersion",
        "iam:DeletePolicyVersion"
      ],
      "Resource": [
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightIAMPolicy",
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightRDSPolicy",
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightS3Policy",
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightRedshiftPolicy"
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightS3ConsumersPolicy"
      ]
    }
  ]
}

Wählen Sie im Navigationsbereich Rollen aus.
Suchen Sie im Rollensuchbereich nach den folgenden IAM-Rollen, und löschen Sie sie dann: aws-quicksight-service-role-v0 aws-quicksight-s3-consumers-role-v0 **Hinweis:**Diese Servicerollen werden automatisch von QuickSight erstellt, wenn Sie Berechtigungen in QuickSight festlegen.
Wählen Sie im Navigationsbereich Richtlinien aus.
Suchen Sie im Richtlinien-Suchbereich nach und Sie sie dann Löschen den folgenden vom Kunden verwalteten IAM-Richtlinien:
AWSQuickSightRedshiftPolicy
AWSQuickSightRDSPolicy
AWSQuickSightIAMPolicy
AWSQuickSightS3Policy
AWSQuickSightS3ConsumersPolicy

Hinweis: QuickSight verwendet von AWS verwaltete Richtlinien, wenn es Zugreifen auf eine AWS-Ressource darf. Beispielsweise verwendet es die AWSQuickSightAthenaAccess-Richtlinie, um den Zugriff auf bestimmte AWS-Ressourcen zu kontrollieren. Von AWS verwaltete Richtlinien können nicht entfernt werden.

Stellen Sie den QuickSight-Zugriff auf Ihre AWS-Services wieder her

Öffnen Sie die Amazon QuickSight-Konsole.
Wählen Sie in der Navigationsleiste die Dropdownliste Benutzername und dann QuickSight verwalten.
Wählen Sie im Navigationsbereich Sicherheit und Berechtigungen aus.
Wählen Sie im QuickSight-Zugriff auf AWS-Services die Option Verwalten aus.
Wählen Sie unter Zugriff und automatische Erkennung für diese Ressourcen zulassen die AWS-Services aus, die Sie wiederherstellen möchten.
Wählen Sie Speichern aus.