Salta al contenuto
Usando AWS re:Post, accetti AWS re:Post Termini di utilizzo
AWS re:Postre:Post
Informazioni su re:Post

Come posso risolvere l'errore dell'utente IAM "not authorized to perform iam:PassRole"?

2 minuti di lettura
0

Ho provato a eseguire un'azione API con un utente AWS Identity and Access Management (AWS IAM) per passare un ruolo a un servizio AWS. L'azione API non è riuscita e ho ricevuto un errore simile al seguente: "You are not authorized to perform this operation. User: arn:aws:iam::123456789012:user/Bob is not authorized to perform: iam:PassRole on resource: arn:aws:iam::123456789012:role/ExampleRole because no identity-based policy allows the iam:PassRole action."

Breve descrizione

Alcuni servizi AWS consentono di passare un ruolo IAM esistente al servizio in modo da non dover creare un nuovo ruolo di servizio. Tuttavia, devi avere l'autorizzazione per passare il ruolo IAM al servizio AWS.

Risoluzione

Per risolvere il problema, aggiorna la policy IAM in modo da consentire all'utente IAM di eseguire l'azione API iam:PassRole per il servizio AWS.

Nota: puoi utilizzare l'autorizzazione PassRole solo per passare un ruolo IAM a un servizio AWS che condivide lo stesso account AWS, non un altro account. Per ulteriori informazioni, consulta Accesso alle risorse multi-account in IAM.

Il seguente esempio di policy IAM consente a un utente IAM di passare il ruolo denominato ExampleRole al servizio Amazon Elastic Compute Cloud (Amazon EC2):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-ID:role/ExampleRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        }
    ]
}

Nota: sostituisci ExampleRole con il tuo ruolo e account-ID con l'ID del tuo account.

Includi un ARN di risorsa specifico nell'elemento Resource per limitare la capacità degli utenti di passare il ruolo ad altri utenti e prevenire il problema del "confused deputy". Per ulteriori informazioni, consulta Concedere a un utente le autorizzazioni per passare un ruolo a un servizio AWS.

Informazioni correlate

How to use the PassRole permission with IAM roles (Come utilizzare l'autorizzazione PassRole con i ruoli IAM)