使用Elastic Beanstalk CLI初始化Flask应用时遇权限拒绝问题求助

搜索到的Elastic Beanstalk相关策略（中文翻译） #

• AdministratorAccess-AWSElasticBeanstalk：AWS Elastic Beanstalk 管理员访问权限
• AWSElasticBeanstalkCustomPlatformforEC2Role：AWS Elastic Beanstalk EC2角色自定义平台策略
• AWSElasticBeanstalkEnhancedHealth：AWS Elastic Beanstalk 增强型健康检查策略
• AWSElasticBeanstalkMaintenance：AWS Elastic Beanstalk 维护策略
• AWSElasticBeanstalkManagedUpdatesCustomerRolePolicy：AWS Elastic Beanstalk 托管更新客户角色策略
• AWSElasticBeanstalkManagedUpdatesServiceRolePolicy：AWS Elastic Beanstalk 托管更新服务角色策略
• AWSElasticBeanstalkMulticontainerDocker：AWS Elastic Beanstalk 多容器Docker策略
• AWSElasticBeanstalkReadOnly：AWS Elastic Beanstalk 只读访问权限
• AWSElasticBeanstalkRoleCore：AWS Elastic Beanstalk 核心角色策略
• AWSElasticBeanstalkRoleCWL：AWS Elastic Beanstalk CloudWatch Logs 角色策略
• AWSElasticBeanstalkRoleECS：AWS Elastic Beanstalk ECS 角色策略
• AWSElasticBeanstalkRoleRDS：AWS Elastic Beanstalk RDS 角色策略
• AWSElasticBeanstalkRoleSNS：AWS Elastic Beanstalk SNS 角色策略
• AWSElasticBeanstalkRoleWorkerTier：AWS Elastic Beanstalk 工作者层角色策略
• AWSElasticBeanstalkService：AWS Elastic Beanstalk 服务策略
• AWSElasticBeanstalkServiceRolePolicy：AWS Elastic Beanstalk 服务角色策略
• AWSElasticBeanstalkWebTier：AWS Elastic Beanstalk Web层策略
• AWSElasticBeanstalkWorkerTier：AWS Elastic Beanstalk 工作者层策略

权限拒绝问题的排查方向及解决方法 #

1. 策略生效延迟 #

IAM策略附加到用户或组后，通常需要5-10分钟才能完全生效。如果刚创建完用户就执行eb init，可以等待一段时间后重试。

2. 身份验证凭证错误 #

执行以下命令确认当前CLI使用的身份是否为目标EB用户：

aws sts get-caller-identity

检查输出中的UserId和Arn是否与你创建的IAM用户EB匹配。如果不匹配，重新执行aws configure输入正确的Access Key ID和Secret Access Key。

3. 区域配置或区域权限限制 #

• 执行aws configure get region确认当前配置的区域，确保该区域支持Elastic Beanstalk（例如us-east-1、ap-southeast-1等）。
• 检查AdministratorAccess-AWSElasticBeanstalk策略是否被限制了特定区域：进入IAM策略详情页，查看Resource和Condition字段，确认没有区域限制。

4. eb init的额外权限需求 #

eb init命令除了Elastic Beanstalk本身的权限，还需要访问S3、IAM等服务的权限：

• 确认AdministratorAccess-AWSElasticBeanstalk策略包含以下权限（该策略默认应该覆盖，但可以验证）：
  • S3：允许操作Elastic Beanstalk相关的存储桶（前缀为elasticbeanstalk-*）
  • IAM：允许创建、附加Elastic Beanstalk所需的服务角色（如aws-elasticbeanstalk-ec2-role）

5. 策略附加验证 #

进入IAM控制台，检查：

• EB用户是否已加入EB用户组
• EB用户组是否正确附加了AdministratorAccess-AWSElasticBeanstalk策略
• 用户没有被设置权限边界限制了Elastic Beanstalk操作

6. 账户级服务控制策略（SCP）限制 #

如果你的AWS账户属于组织（AWS Organization），需要检查组织的服务控制策略（SCP）是否禁止了Elastic Beanstalk相关操作。确保SCP中允许elasticbeanstalk:*以及相关的S3、IAM操作。

7. 手动创建服务角色 #

如果eb init自动创建服务角色失败，可以手动创建所需角色：

• 创建aws-elasticbeanstalk-ec2-role角色，附加AWSElasticBeanstalkWebTier、AWSElasticBeanstalkMulticontainerDocker、AWSElasticBeanstalkWorkerTier策略
• 创建aws-elasticbeanstalk-service-role角色，附加AWSElasticBeanstalkServiceRolePolicy策略
  创建完成后再执行eb init。

内容的提问来源于stack exchange，提问作者Muhammad Usman