授权错误：testuser无ec2:DescribeInstances权限，请求协助配置

错误原因 #

ec2:DescribeInstances属于EC2的描述类操作，这类API不支持指定具体实例ARN作为Resource参数。AWS规定，描述类操作（如DescribeInstances、DescribeVolumes等）需要将Resource设为*，因为它们是查询区域内资源列表的操作，而非针对单个实例的操作。

修正后的IAM策略 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:DescribeInstances",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-1:XXXXXXXXXXXX:instance/i-XXXXXXXXXXXXXXXXX",
                "arn:aws:ec2:us-east-1:XXXXXXXXXXXX:instance/i-XXXXXXXXXXXXXXXXX"
            ]
        }
    ]
}

策略优化说明 #

• 移除了原策略中冗余的Condition：因为已经通过Resource明确指定了允许操作的实例ARN，Condition在这里属于重复限制，可直接省略。
• 合并了两个启停实例的Statement：将相同操作的权限合并为一个Statement，简化策略结构，便于维护。

内容的提问来源于stack exchange，提问作者mounika