Amazon Q Business ウェブエクスペリエンスにアクセスする際、「Permissions needed.403 Forbidden」というエラーが発生する理由を知りたいです。

解決策

403 Forbidden エラーは、次の理由で発生する可能性があります。

• ユーザーまたはグループに割り当てたサブスクリプションがアクティブではない。
• AWS Identity and Access Management (IAM) ロールで、ウェブエクスペリエンス用の適切なアクセス許可が欠けている。

ユーザーサブスクリプションのステータスを確認する

次の手順を実行します。

1. Amazon Q Business コンソールを開きます。
2. ナビゲーションペインで [アプリケーション] を選択し、該当するアプリケーション名を選択します。
3. [アプリケーションの詳細] ページの [ユーザーアクセス] で [ユーザーアクセスの管理] を選択します。
4. [グループとユーザー] タブを選択します。
5. 該当するユーザーを見つけたら、サブスクリプションのステータスが Active であることを確認します。
   注: ユーザーがリストにない場合は、そのユーザーを AWS IAM Identity Center インスタンスに追加し、Amazon Q Business へのユーザーアクセスを付与します。
6. ユーザーにアクティブなサブスクリプションがない場合は、[グループとユーザーの追加] を選択します。
7. [サブスクリプション変更の確認] ウィンドウでサブスクリプションレベルを選択し、[完了] を選択します。
8. ユーザーアカウントでウェブエクスペリエンスを再起動します。

IAM Identity Center インスタンスにユーザーを追加し、Amazon Q ビジネスへのアクセス許可を付与する

この操作を行うには、IAM Identity Center インスタンスにアクセスするためのアクセス許可が必要です。メンバーアカウントで Amazon Q Business を使用している場合、IAM Identity Center インスタンスは AWS Organizations 内の別の組織に配置されている可能性があります。Amazon Q Business サブスクリプションを追加するには、その組織にアクセスできる必要があります。

ユーザーを追加するには、次の手順を実行します。

1. IAM Identity Center コンソールを開きます。
2. ナビゲーションペインで [グループ] を選択し、該当するグループ名を選択します。
3. [ユーザーをグループに追加] を選択し、該当するユーザーを選択します。
   注: 追加できるユーザーがいない場合は、Identity Center ディレクトリにユーザーを追加する必要があります。

注: 変更が反映されるまでに最大 24 時間かかることがあります。

ウェブエクスペリエンスの IAM ロールに正しいアクセス許可があることを確認する

次の手順を実行します。

1. Amazon Q Business コンソールを開きます。
2. ナビゲーションペインで [アプリケーション] を選択し、該当するアプリケーション名を選択します。
3. [アプリケーションの詳細] ページの [ウェブエクスペリエンス設定] に表示される、ウェブエクスペリエンスのロール名を書き留めます。
4. IAM コンソールを開きます。
5. ナビゲーションペインで [ロール] を選択します。
6. 検索バーにロール名を入力し、該当するロールを選択します。
7. IAM Identity Center を使用してアプリケーションを設定した場合は、ロールにウェブエクスペリエンスに必要なアクセス許可と信頼ポリシーが含まれていることを確認します。
   または、
   IAM Federation を使用してアプリケーションを設定した場合は、ロールにウェブエクスペリエンスに必要なアクセス許可と信頼ポリシーが含まれていることを確認します。
8. ウェブエクスペリエンスを再起動します。