¿Cómo soluciono el error «Access Denied» cuando intento crear un grupo de usuarios en Amazon Cognito?

Resolución

El error «Access Denied» se produce cuando el usuario o rol de AWS Identity and Access Management (IAM) no tiene los permisos necesarios para crear y administrar los recursos de Amazon Cognito. Para resolver este problema, adjunta la política de IAM AmazonCognitoPowerUser a tu usuario o rol de IAM.

Sigue estos pasos:

1. Abre la consola de IAM.
2. En el panel de navegación, elige Usuarios para conceder permisos a un usuario de IAM. O bien, elige Roles para conceder permisos a un rol de IAM.
3. Selecciona el usuario o rol de IAM.
4. En la pestaña Permisos, expande la sección Agregar permisos y, a continuación, elige Adjuntar políticas existentes directamente.
5. En el cuadro de búsqueda, escribe AmazonCognitoPowerUser.
6. Selecciona la casilla de la política AmazonCognitoPowerUser.
7. Elige Siguiente: Revisar.
8. Revisa la política y, a continuación, elige Agregar permisos.

Nota: La política administrada AmazonCognitoPowerUser proporciona acceso total a los recursos de Amazon Cognito. Para limitar el acceso, crea una política de IAM personalizada con solo los permisos necesarios. Para obtener más información, consulta Políticas administradas de Amazon para Amazon Cognito.

Si creas un grupo de usuarios de Amazon Cognito con una configuración de servicio de mensajes cortos (SMS), adjunta también el siguiente ejemplo de política a tu usuario o rol de IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CognitoServiceRoleManagement",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:iam:444455556666:role/service-role/CognitoIdpSNSServiceRole"
        },
        {
            "Sid": "CognitoServiceRolePolicyCreation",
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy"
            ],
            "Resource": "arn:aws:iam:444455556666:policy/service-role/Cognito-*"
        }
    ]
}

Nota: Sustituye 444455556666 por el ID de tu cuenta de AWS.

Información relacionada

Grupos de usuarios de Amazon Cognito

Registro y confirmación de cuentas de usuario