如何通过Chime-SDK-Identity CLI创建AppInstanceAdmin及权限问题排查

一、明确--app-instance-admin-arn的正确取值 #

--app-instance-admin-arn需要指定要设为管理员的IAM用户/角色的ARN，而非AppInstance的ARN。获取目标ARN的方式：

• 登录AWS控制台，进入IAM服务，找到目标用户/角色后直接复制ARN；
• 用CLI命令获取用户ARN：

  aws iam get-user --user-name <目标用户名> --query 'User.Arn' --output text
  

  获取角色ARN：

  aws iam get-role --role-name <目标角色名> --query 'Role.Arn' --output text
  

二、排查IAM权限问题（即使已有AdministratorAccess） #

AdministratorAccess通常覆盖全权限，但可能存在以下限制：

• 资源策略约束：检查AppInstance是否附加了资源策略，限制操作主体。用CLI查看：

  aws chime-sdk-identity get-app-instance --app-instance-arn <你的AppInstanceARN>
  

  查看输出中的ResourcePolicy字段，确认是否允许当前IAM用户执行chime-sdk-identity:CreateAppInstanceAdmin操作。
• 权限边界限制：若IAM用户/角色设置了权限边界，即使有AdministratorAccess，边界也可能拦截Chime相关操作。进入IAM控制台查看用户/角色的权限边界配置。
• MFA会话凭证缺失：如果IAM用户启用了MFA，执行CLI命令需附带会话令牌。获取临时凭证命令：

  aws sts get-session-token --serial-number <MFA设备ARN> --token-code <MFA验证码>
  

  之后设置环境变量AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN再执行Chime命令。

三、解决普通账号创建频道的403 Forbidden问题 #

普通账号无法直接创建频道，需完成以下操作：

1. 按上述步骤成功创建AppInstanceAdmin；
2. 由AppInstanceAdmin为普通账号授予频道创建权限：可通过Chime SDK权限配置，或在创建频道时指定普通账号为成员并分配对应权限；
3. 为普通账号的IAM策略添加相关权限，示例策略：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "chime:CreateChannel",
           "chime:CreateChannelMembership"
         ],
         "Resource": "<你的AppInstanceARN>/*"
       }
     ]
   }
   

四、验证命令正确性 #

完整的create-app-instance-admin命令示例：

aws chime-sdk-identity create-app-instance-admin --app-instance-arn arn:aws:chime:us-east-1:123456789012:app-instance/abc123xyz --app-instance-admin-arn arn:aws:iam::123456789012:user/AdminUser

成功执行后会返回类似输出：

{
  "AppInstanceAdmin": {
    "Arn": "arn:aws:iam::123456789012:user/AdminUser",
    "Name": "AdminUser"
  },
  "AppInstanceArn": "arn:aws:chime:us-east-1:123456789012:app-instance/abc123xyz"
}

内容的提问来源于stack exchange，提问作者KonradDos