AWS管理账户无法切换至组织成员账户：无角色切换选项

核心排查与修复步骤 #

• 验证角色信任策略
  成员账户中创建的角色，其信任策略必须精准指向管理账户ID，不能有拼写错误。正确的信任策略示例：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::123456789012:root"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

  替换123456789012为你的管理账户ID。

• 检查管理账户用户权限
  若使用管理账户的IAM用户而非root账户操作，该用户必须拥有sts:AssumeRole权限，且资源范围包含目标成员账户的角色ARN。示例权限策略：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::987654321098:role/YourTargetRole"
      }
    ]
  }
  

  替换987654321098为成员账户ID，YourTargetRole为你创建的角色名。

• 确认组织账户状态
  确保成员账户已成功加入AWS组织，且未处于退出、挂起等异常状态。可在管理账户的AWS Organizations控制台查看成员账户状态。

• 清除控制台缓存
  刷新浏览器页面，或使用无痕/隐私模式重新登录AWS控制台，避免前端缓存导致的角色列表不加载问题。

• CLI测试权限有效性
  用AWS CLI执行以下命令，验证是否能成功切换角色：

  aws sts assume-role --role-arn arn:aws:iam::[成员账户ID]:role/[目标角色名] --role-session-name test-switch
  

  若命令返回包含临时凭证的结果，说明权限配置正常，问题出在控制台端；若报错，根据错误信息调整策略或账户配置。

内容的提问来源于stack exchange，提问作者Vikram