AWS Batch作业定义创建报错：IAM角色未获授权

核心排查点 #

• 修正角色信任关系：ecsTaskExecutionRole的信任策略必须同时允许batch.amazonaws.com和ecs-tasks.amazonaws.com作为服务主体。很多情况下只配置了ECS的信任实体，导致Batch无法Assume该角色。正确的信任策略示例：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": ["ecs-tasks.amazonaws.com", "batch.amazonaws.com"]
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

• 检查权限边界与SCP限制：如果角色设置了自定义权限边界，或者你的AWS组织有服务控制策略（SCP），可能会拦截AmazonECSTaskExecutionRolePolicy中的权限。确认这些限制没有阻止Batch相关的API操作。
• 添加作业特定权限：如果你的Batch作业需要访问额外AWS资源（比如私有S3桶、RDS实例等），仅靠AmazonECSTaskExecutionRolePolicy是不够的，需要附加对应权限的自定义策略。例如，读取S3对象需要s3:GetObject权限，写入CloudWatch Logs之外的日志需要额外日志权限。
• 验证角色ARN准确性：确保在Batch作业定义中填写的角色ARN与实际IAM角色的ARN完全一致，包括账号ID、角色名，避免拼写错误。
• 等待权限传播：IAM权限变更通常需要1-5分钟才能全局生效，创建新角色后不要立即测试，等待几分钟再重试。

进阶排查 #

• 用IAM Access Analyzer扫描角色，查看是否存在权限冲突或未生效的配置。
• 查看CloudTrail中的API调用日志，找到具体的权限拒绝事件，里面会明确指出缺失的权限或被阻止的操作。

内容的提问来源于stack exchange，提问作者Erik