为什么我在访问 Amazon Q Business Web 体验时会收到“Permissions needed.403 Forbidden”（需要权限。403 禁止访问）错误？

解决方法

出现 403 Forbidden（403 禁止访问）错误的原因可能如下：

• 您分配给用户或组的订阅处于非活动状态。
• 您的 AWS Identity and Access Management (IAM) 角色对于 Web 体验没有正确的权限。

检查用户订阅状态

完成以下步骤：

1. 打开 Amazon Q Business 控制台。
2. 在导航窗格中，选择 Applications（应用程序），然后选择您的应用程序的名称。
3. 在 Application details（应用程序详细信息）页面的 User access（用户访问权限）下，选择 Manage user access（管理用户访问权限）。
4. 选择 Groups and Users（组和用户）选项卡。
5. 找到您的用户并检查订阅状态是否为 Active（活动）。
   **注意：**如果您的用户未列出，请将您的用户添加到 AWS IAM Identity Center 实例中，并向该用户授予对 Amazon Q Business 的访问权限。
6. 如果您的用户没有活动订阅，请选择 Add groups and users（添加组和用户）。
7. 在 Confirm subscription change（确认订阅更改）窗口中，选择订阅级别，然后选择 Done（完成）。
8. 从用户账户中重新启动 Web 体验。

将用户添加到您的 IAM Identity Center 实例中并授予对 Amazon Q Business 的访问权限

您必须拥有访问您的 IAM Identity Center 实例的权限。如果您在成员账户中使用 Amazon Q Business，则 IAM Identity Center 实例可能位于 AWS Organizations 中的其他组织中。您必须有权访问该组织才能添加 Amazon Q Business 订阅。

要添加用户，请完成以下步骤：

1. 打开 IAM Identity Center 控制台。
2. 在导航窗格中，选择 Groups（组），然后选择您的组名称。
3. 选择 Add users to group（将用户添加到组），然后选择用户。
   **注意：**如果没有可供添加的用户，您必须将用户添加到您的 Identity Center 目录中。

**注意：**您的更改最多可能需要 24 小时才能生效。

检查您的 Web 体验 IAM 角色是否具有正确的权限

完成以下步骤：

1. 打开 Amazon Q Business 控制台。
2. 在导航窗格中，选择 Applications（应用程序），然后选择您的应用程序的名称。
3. 在 Application details（应用程序详细信息）页面的 Web experience settings（Web 体验设置）下，记下 Web 体验角色名称。
4. 打开 IAM 控制台。
5. 在导航窗格中，选择 Roles（角色）。
6. 在搜索栏中输入您的角色名称，然后选择您的角色。
7. 如果您使用了 IAM Identity Center 来配置您的应用程序，请确认您的角色包含访问 Web 体验所需的权限和信任策略。
   -或-
   如果您使用了 IAM Federation 来配置您的应用程序，请确认您的角色包含访问 Web 体验所需的权限和信任策略。
8. 重启 Web 体验。