新AWS账号创建Elastic Beanstalk环境遇Auto Scaling权限错误

可能的原因及排查步骤： #

• 验证IAM策略的动作与资源覆盖范围
  即便配置了Auto Scaling完全访问权限，仍需确认关联的IAM策略中明确包含autoscaling:CreateLaunchConfiguration动作，且资源范围覆盖eu-west-2区域的所有启动配置资源（即arn:aws:autoscaling:eu-west-2:542435368335:launchConfiguration:*）。可通过IAM控制台的策略模拟器直接验证该用户是否具备此动作权限。

• 排查AWS Organizations服务控制策略（SCP）
  如果新账号属于AWS Organizations成员账号，必须检查组织层面的SCP是否限制了autoscaling:CreateLaunchConfiguration动作。SCP优先级高于IAM身份策略，即便IAM用户有完全权限，SCP的限制也会触发403错误。

• 等待IAM策略缓存生效
  IAM策略变更通常需要5-10分钟才能完全同步生效，若你刚添加权限不久，可等待一段时间后重新尝试创建环境。

• 用IAM Access Analyzer确认有效权限
  使用IAM Access Analyzer的「检查访问权限」功能，输入用户ARN、autoscaling:CreateLaunchConfiguration动作及目标资源ARN，直接查看是否存在明确的权限拒绝项。

• 排查临时凭证的会话策略限制
  若你通过角色切换等方式使用临时凭证操作，需确认会话策略未限制autoscaling:CreateLaunchConfiguration动作（此场景仅适用于临时身份操作的情况）。

内容的提问来源于stack exchange，提问作者HenryM