将子网附加到AWS VPC终端节点时遇权限错误

核心原因 #

错误提示明确指向子网的所有权与操作权限不匹配：虽然你拥有管理员权限，且VPC与终端节点同账号同区域，但共享VPC的子网实际由其他实体（可能是其他AWS账号、或组织内的共享所有者）持有，你的账号缺少在该子网内创建弹性网络接口（ENI）的权限——创建接口型VPC终端节点时必须在指定子网中生成ENI，这就是报错的触发点。

解决步骤 #

1. 处理跨账号共享场景 #

如果该VPC是由其他AWS账号共享给你的，请联系VPC所有者为目标子网添加以下资源策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::你的账号ID:root"
            },
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:DescribeNetworkInterfaces"
            ],
            "Resource": [
                "arn:aws:ec2:你的区域:共享者账号ID:subnet/目标子网ID",
                "arn:aws:ec2:你的区域:你的账号ID:network-interface/*"
            ]
        }
    ]
}

该策略明确允许你的账号在共享子网内创建和管理ENI，满足VPC终端节点的创建要求。

2. 检查AWS Organizations服务控制策略（SCP） #

若你的账号属于AWS Organizations，确认组织层面的SCP没有限制ec2:CreateNetworkInterface操作。SCP优先级高于IAM用户策略，即使你拥有全权限IAM策略，SCP的拒绝规则也会阻断操作。

3. 验证IAM权限有效性 #

使用IAM Access Analyzer检查你的用户权限配置，确认ec2:CreateNetworkInterface操作不存在隐式拒绝。虽然你附加了Action: "*"的策略，但需确保没有其他策略（如边界策略）限制了资源级访问。

4. 同账号RAM共享场景处理 #

如果是同一账号内通过Resource Access Manager（RAM）共享VPC，需确保共享资源包含目标子网，且共享权限中明确包含ec2:CreateNetworkInterface相关操作。

内容的提问来源于stack exchange，提问作者Enol