当我使用 create-group AWS CLI 命令创建 QuickSight 组时，如何解决“AccessDeniedException”错误？

简短描述

当您使用 AD Connector 登录 Amazon QuickSight 时，可能会出现以下错误： "An error occurred (AccessDeniedException) when calling the CreateGroup operation: Group operations are not enabled for this account."

QuickSight 仅管理在 QuickSight 中创建和维护的身份。如果设置了 AD Connector，则使用 AWS Directory Service for Microsoft Active Directory（AWS Managed Microsoft AD）组。

AWS Managed Microsoft AD 组用于将用户映射到管理员、作者和读者角色。当您通过 AWS Managed Microsoft AD 管理用户时，不能使用 AWS CLI 命令 create-group 创建 QuickSight 托管组。

**注意：**如果在运行 AWS CLI 命令时收到错误，请参阅 Troubleshoot AWS CLI errors。此外，确保您使用的是最新的 AWS CLI 版本。

解决方法

使用 AWS Managed Microsoft AD 创建组

建立 Active Directory 后，您可以创建至少三个组：

• Amazon QuickSight 管理员
• Amazon QuickSight 作者
• Amazon QuickSight 读者

**注意：**只有企业版的 QuickSight 支持 AD Connector 和 AWS Managed Microsoft AD。有关更多信息，请参阅 Best practices for AWS Managed Microsoft AD。

使用 AWS CLI 命令创建组

要使用 AWS CLI 创建和管理 QuickSight 组，必须先取消订阅 QuickSight。然后，重新订阅并更改您连接到 QuickSight 的方式，以使用 AWS Identity and Access Management（IAM）身份和 QuickSight 托管用户。有关详细信息，请参阅 Identity and access management in Amazon QuickSight。

**注意：**取消订阅会删除所有 QuickSight 用户、数据和资产。

相关信息

如何使用适用于 Microsoft Active Directory 的 AWS Directory Service 在 Amazon QuickSight 中进行用户身份验证？