CloudFront创建自动缓存失效时出现服务名称不匹配的AccessDenied错误如何解决？

这个错误看起来是AWS CLI在请求时的服务标识出了问题，我来帮你一步步排查解决：

1. 先检查AWS CLI版本 #

老版本的AWS CLI可能对CloudFront的服务端点处理存在兼容性问题，先确认你的CLI是不是最新版：

aws --version

如果版本偏旧，执行对应方式升级：

• 用pip安装的CLI：pip install awscli --upgrade
• 系统包管理安装的（比如Ubuntu）：sudo apt update && sudo apt install awscli
• 或者用AWS官方安装器更新到稳定版。

2. 检查AWS配置文件的端点设置 #

自定义的端点配置很可能导致服务名称识别错误，打开你的AWS配置文件（通常路径是~/.aws/config），看看有没有针对CloudFront的错误端点配置，比如类似：

[profile my-custom-profile]
cloudfront_endpoint_url = some-wrong-url

如果有这类配置，要么删除错误的端点设置，要么确保它指向正确的CloudFront官方端点：https://cloudfront.amazonaws.com。

3. 排查干扰性的环境变量 #

有没有设置过可能干扰AWS CLI的环境变量？比如AWS_ENDPOINT_URL或者CloudFront专属的端点变量，这些会覆盖默认服务端点，导致服务名称识别失败。
先执行命令查看相关变量：

env | grep AWS_ENDPOINT

如果查到相关变量，临时取消设置再测试：

unset AWS_ENDPOINT_URL
unset AWS_CLOUDFRONT_ENDPOINT_URL

4. 临时强制指定CloudFront端点测试 #

如果上面的方法都没效果，可以在命令里直接指定正确的CloudFront端点，强制CLI使用标准服务地址：

aws cloudfront create-invalidation --distribution-id=$DISTRIBUTION_ID --paths="/*" --endpoint-url=https://cloudfront.amazonaws.com

如果这个命令能成功，说明你的默认端点配置肯定有问题，回去重点检查~/.aws/config或者环境变量。

5. 顺带确认IAM权限（虽然不是直接原因，但避免踩坑） #

确保你的IAM用户/角色拥有cloudfront:CreateInvalidation权限，对应的IAM策略示例如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "cloudfront:CreateInvalidation",
            "Resource": "arn:aws:cloudfront::你的AWS账号ID:distribution/你的分发ID"
        }
    ]
}

6. 检查代理或网络环境 #

如果你在使用代理服务器，可能代理篡改了HTTP请求头，导致AWS无法识别服务名称。尝试在无代理的网络环境下运行命令，或者确认代理不会修改AWS的请求头信息。

按照上面的步骤逐一排查，应该能解决这个服务名称不匹配的问题。

内容的提问来源于stack exchange，提问作者Lidia Mokevnina