为什么 root 用户不能更改规则上的 MFA 规则？

Question

【以下的问题经过翻译处理】 在进行Cognito用户池配置，尝试更改池中的MFA需求以允许TOTP。但是它给了我这个错误：

> 
> [ AccessDeniedException] 无法更新us-east-1_FLnPt9UKE的MFA配置
> 请求ID：0660fb15-2cc4-4f63-9c8f-657b71b320d9
> 时间：2022年5月21日，东部夏令时格林尼治标准时间-4：16:18
> 代码： AccessDeniedException
> 信息：用户：arn:aws:iam::384426254369:root未被授权在资源arn:aws:iam::745623467555:role/cognito_sms_role上执行iam:PassRole，因为没有基于资源的策略允许iam:PassRole操作。
> 
>

我感到困惑，因为我以根用户身份登录到控制台，应该有权限访问EVERYTHING。但是，我并没有真正的名为“cognito_sms_role”的角色。那是不是问题所在？如果是，我该如何修复？

Answer

【以下的回答经过翻译处理】 个资源的AWS帐号号码不同，这意味着您的根用户没有权限更改角色，因为它在另一个账户中。
鉴于`iam:PassRole`是仅限权限的IAM操作，可能根用户账户没有此权限（我从未尝试过）。您可能需要在Cognito角色的帐户中扮演角色，以便可以对其进行更改。

为什么 root 用户不能更改规则上的 MFA 规则？

Relevanter Inhalt