如何在AWS IAM Identity Center修改托管应用的身份传播访问范围？

问题核心 #

AWS托管应用在Identity Center控制台无法直接编辑身份传播访问范围，当前仅配置3个Q Business相关范围，导致关联用户仅能执行只读操作（如列出应用），运行ChatSync命令时触发以下错误：

An error occurred (AccessDeniedException) when calling the ChatSync operation: User is not authorized for this service call.

已排查角色信任关系与权限策略，锁定问题根源为身份传播访问范围不足。

解决方案 #

1. 通过CLI/API修改AWS托管应用的身份传播访问范围

AWS托管应用无控制台编辑入口，但可通过Identity Center的CLI命令更新访问范围：

• 先通过以下命令获取目标托管应用的ARN：

  aws sso-admin list-applications --instance-arn <你的Identity Center实例ARN>
  

• 执行update-application命令，添加全部5个Q Business相关访问范围：

  aws sso-admin update-application \
    --application-arn <目标托管应用ARN> \
    --application-protocol-type "SAML" \
    --identity-propagation-scopes '[
        {"Attribute": "https://aws.amazon.com/SAML/Attributes/AccessControl:QBusinessApplicationId", "Value": "*"},
        {"Attribute": "https://aws.amazon.com/SAML/Attributes/AccessControl:QBusinessIndexId", "Value": "*"},
        {"Attribute": "https://aws.amazon.com/SAML/Attributes/AccessControl:QBusinessDataSourceId", "Value": "*"},
        {"Attribute": "https://aws.amazon.com/SAML/Attributes/AccessControl:QBusinessChatSessionId", "Value": "*"},
        {"Attribute": "https://aws.amazon.com/SAML/Attributes/AccessControl:QBusinessChatMessageId", "Value": "*"}
      ]'
  

  注：若需限定资源范围，可将*替换为具体的Q Business资源ARN，避免过度授权。

2. 验证权限集配置

确保关联用户/组的权限集包含Q Business写入操作权限，示例策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "qbusiness:ChatSync",
        "qbusiness:CreateChatSession",
        "qbusiness:SendMessage"
      ],
      "Resource": "*"
    }
  ]
}

3. 刷新用户会话

让用户退出AWS控制台并重新登录，确保新的访问范围与权限生效（避免缓存的旧权限干扰）。

4. 权限模拟验证

使用以下命令模拟用户权限，确认ChatSync操作是否被允许：

aws iam simulate-principal-policy \
  --policy-source-arn <用户/角色ARN> \
  --action-names qbusiness:ChatSync

内容的提问来源于stack exchange，提问作者Chidinma Umenwofor-Nweze