IAM用户调用AWS Bedrock API权限问题：已授全权限仍提示无权限

云原生阿岚

2026-6-25

可能的缺失配置或权限点

模型访问权限未启用：AmazonBedrockFullAccess仅允许调用Bedrock API，但部分LLM模型需要单独在Bedrock控制台启用账户级访问权限。即便有全权限，若未启用目标模型的访问，调用时仍会返回无权限错误。需登录Bedrock控制台，进入「模型访问」页面，为当前账户启用你要调用的模型权限。
IAM用户权限边界限制：如果该IAM用户被设置了权限边界，即便附加了AmazonBedrockFullAccess，权限边界也可能覆盖或限制Bedrock相关操作。检查用户的权限边界配置，确保其允许bedrock:*类操作。
AWS区域不匹配：Bedrock及旗下模型仅在特定区域可用。若代码调用的区域与模型启用区域、IAM权限生效区域不一致，会触发权限错误。确认代码中指定的区域（如us-east-1）与Bedrock控制台中启用模型的区域一致，同时确保IAM策略的资源范围包含该区域。
凭证或配置错误：检查PHP代码中使用的IAM用户Access Key和Secret Key是否正确，避免使用缓存的旧凭证。可通过aws configure list（若安装AWS CLI）验证本地配置的凭证对应目标IAM用户，或在代码中明确指定凭证与区域，排除配置文件缓存问题。
组织SCP策略限制：若你的AWS账户属于AWS组织，组织级服务控制策略（SCP）可能限制了Bedrock服务的访问。检查组织SCP配置，确保存在允许bedrock:*操作的策略，且未对该账户施加访问限制。
资源级权限覆盖：查看AmazonBedrockFullAccess的具体策略内容，确认其覆盖了你调用的API操作及目标模型资源ARN。部分场景下，策略可能对资源做了限制，需确保权限允许访问你调用的特定模型资源。