IAM无管理员权限用户无法启用MFA，权限问题求助

问题概述 #

• 无管理员权限的IAM用户无法启用MFA，报错提示：

您需要权限，您没有执行此操作所需的权限，请联系管理员添加权限。用户arn:aws:iam:::user/ 未被授权执行iam:ListVirtualMFADevices操作，资源为arn:aws:iam:::mfa/，原因是没有基于身份的策略允许iam:ListVirtualMFADevices操作。

• 拥有完整管理员权限的IAM用户可正常添加MFA，尝试过相关策略脚本但执行后找不到对应策略。

解决方案 #

要让IAM用户自行管理自身MFA，需为其分配包含以下权限的IAM策略：

策略JSON内容 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateVirtualMFADevice",
                "iam:EnableMFADevice",
                "iam:ListVirtualMFADevices",
                "iam:ResyncMFADevice",
                "iam:DeleteVirtualMFADevice"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:mfa/${aws:username}",
                "arn:aws:iam::<account-id>:user/${aws:username}"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListMFADevices",
            "Resource": "arn:aws:iam::<account-id>:user/${aws:username}"
        }
    ]
}

策略说明 #

• 将<account-id>替换为你的AWS账户ID
• ${aws:username}是IAM内置变量，自动匹配当前用户的用户名，确保用户仅能管理自己的MFA设备
• 包含了用户启用、管理自身MFA的全部核心权限

配置步骤 #

1. 登录AWS控制台，进入IAM服务
2. 进入策略页面，点击创建策略
3. 切换到JSON标签，粘贴上述策略并替换<account-id>
4. 为策略命名（如AllowUserManageOwnMFA），补充描述后完成创建
5. 进入目标IAM用户的权限页面，点击添加权限→附加现有策略直接，找到刚创建的策略并附加

排查要点 #

• 若脚本执行后找不到策略：检查脚本是否正确替换账户ID，或是否在目标AWS账户/区域操作；建议手动创建上述策略替代脚本方式
• 确认策略资源ARN格式正确，避免通配符过度授权或资源范围错误

内容的提问来源于stack exchange，提问作者DevNoob