Comment puis-je résoudre les erreurs d’autorisation de ressources dans Quick Suite ?

Brève description

Si vous modifiez les autorisations Quick Suite pour vos ressources AWS dans la console Gestion des identités et des accès AWS (AWS IAM), les erreurs suivantes peuvent s'afficher :

• « The role used by Quick Suite for AWS resource access was modified to an un-recoverable state outside of Quick Suite, so you can no longer edit AWS resource permissions in Quick Suite. »
• « We were unable to update Quick Suite permissions for AWS resources. Either you are not authorized to edit Quick Suite permissions on AWS resources, or the Quick Suite permissions were changed using the IAM console and are therefore no longer updateable through Quick Suite. »
• « We cannot update the IAM Role »
• « Quick Suite has detected unknown policies attached to following roles please detach them and retry »
• « Something went wrong For more information see Set IAM policy »

Il est recommandé de modifier les autorisations Quick Suite relatives aux ressources AWS dans la console Quick Suite.

Résolution

Lorsque Quick Suite interagit avec d'autres services AWS, il assume les rôles de service aws-quicksight-service-role-v0 et aws-quicksight-s3-consumers-role-v0, puis associe des politiques gérées à ces rôles. Supprimez ces rôles de service, puis supprimez les politiques gérées associées. Enfin, restaurez l'accès de Quick Suite à vos services AWS.

Important : assurez-vous de sauvegarder vos politiques IAM avant de les supprimer. Vous pouvez utiliser la sauvegarde pour faire référence aux ressources de compte Amazon Simple Storage Service (Amazon S3) auxquelles vous aviez accès précédemment.

Vérifier les autorisations IAM, Quick Suite et IAM, puis supprimer les rôles et les politiques de service

Procédez comme suit :

1. Consultez vos comptes utilisateur Quick Suite et vérifiez que vous disposez d'un utilisateur doté du rôle ADMIN.

2. Ouvrez la console IAM.

3. (Facultatif) Si cela n'est pas déjà fait, créez un administrateur utilisateur IAM.

4. Assurez-vous que votre politique IAM vous permet de créer et de supprimer des services et des rôles Quick Sight. 
   Exemple de politique IAM :

   {  
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "VisualEditor0",
         "Effect": "Allow",
         "Action": [
           "iam:GetRole",
           "iam:DetachRolePolicy",
           "iam:DeleteRole",
           "iam:AttachRolePolicy",
           "iam:CreateRole"
         ],
         "Resource":[
            "arn:aws:iam::Account-id:role/service-role/aws-quicksight-service-role-v0"
            "arn:aws:iam::Account-id:role/service-role/aws-quicksight-s3-consumers-role-v0"
         ]
       },
       {
         "Sid": "VisualEditor1",
         "Effect": "Allow",
         "Action": [
           "iam:ListPolicies",
           "iam:GetPolicyVersion",
           "iam:GetRole",
           "iam:GetPolicy",
           "iam:ListPolicyVersions",
           "iam:ListAttachedRolePolicies",
           "iam:GenerateServiceLastAccessedDetails",
           "iam:ListEntitiesForPolicy",
           "iam:ListPoliciesGrantingServiceAccess",
           "iam:ListRoles",
           "iam:GetServiceLastAccessedDetails",
           "iam:ListAccountAliases",
           "iam:ListRolePolicies",
           "s3:ListAllMyBuckets"
         ],
         "Resource": "*"
       },
       {
         "Sid": "VisualEditor2",
         "Effect": "Allow",
         "Action": [
           "iam:DeletePolicy",
           "iam:CreatePolicy",
           "iam:CreatePolicyVersion",
           "iam:DeletePolicyVersion"
         ],
         "Resource": [
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightIAMPolicy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightRDSPolicy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightS3Policy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightRedshiftPolicy"
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightS3ConsumersPolicy"
         ]
       }
     ]
   }

5. Dans le volet de navigation, sélectionnez Rôles.

6. Dans le volet de recherche des rôles, recherchez et supprimez les rôles IAM aws-quicksight-service-role-v0 et aws-quicksight-s3-consumers-role-v0.
   Remarque : lorsque vous définissez des autorisations dans Quick Suite, ce dernier crée automatiquement ces rôles de service. Si Quick Suite n'a pas créé le rôle aws-quicksight-s3-consumers-role-v0, supprimez le rôle aws-quicksight-service-role-v0 et continuez.

7. Dans le volet de navigation, sélectionnez Politiques.

8. Dans le volet de recherche des politiques, recherchez et supprimez les politiques IAM gérées par le client. Par exemple, supprimez les politiques gérées par le client suivantes dans l'exemple de stratégie IAM de l'étape 4 :
   AWSQuickSightRedshiftPolicy
   AWSQuickSightRDSPolicy
   AWSQuickSightIAMPolicy
   AWSQuickSightS3Policy
   AWSQuickSightS3ConsumersPolicy
   Remarque : les politiques mentionnées couvrent un nombre limité de services associés à Quick Suite. Pour résoudre complètement les conflits de politiques IAM, supprimez toutes les politiques gérées par le client liées à Quick Suite qui ont été ajoutées directement via IAM.

Rétablir l'accès de Quick Suite à vos services AWS

Procédez comme suit :

1. Ouvrez la console Quick Suite.
2. Choisissez votre nom d'utilisateur dans la barre d'application, puis sélectionnez Gérer Quick Suite.
3. Dans le volet de navigation, sous Autorisations, choisissez Ressources AWS.
4. Pour Accès de Quick Suite aux services AWS, choisissez les services AWS que vous souhaitez restaurer.
5. Sélectionnez Enregistrer.

Remarque : lorsque vous autorisez Quick Suite à accéder à une ressource AWS, il utilise des politiques gérées par AWS. Par exemple, Quick Suite utilise la politique AWSQuicksightAthenaAccess pour contrôler l'accès à certaines ressources AWS. Vous ne pouvez pas supprimer les politiques gérées par AWS.

Pour plus d'informations sur la configuration de l'accès aux ressources dans d'autres services AWS pour Quick Sight, consultez la section Configuration de l'accès Amazon Quick Sight aux sources de données AWS.