AWS Elastic Beanstalk创建环境报错：无法假定指定IAM角色

关键排查与修复步骤 #

1. 确认服务角色的信任关系 #

进入IAM控制台找到elasticbeanstalk-admin-role-services角色，检查信任关系必须包含Elastic Beanstalk服务的假定权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "elasticbeanstalk.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "elasticbeanstalk"
        }
      }
    }
  ]
}

如果信任策略不符合，更新后等待1-2分钟让IAM策略生效。

2. 检查服务角色的权限策略 #

确保该角色附加了AWSElasticBeanstalkService托管策略，或包含以下核心权限：

• Elastic Beanstalk环境、应用版本的创建与管理权限
• EC2实例、Auto Scaling组、CloudWatch指标、S3存储桶的访问权限
• 避免设置过严的权限边界限制角色功能

3. 验证实例配置文件关联角色 #

实例配置文件（Instance Profile）关联的角色（通常为aws-elasticbeanstalk-ec2-role）需满足：

• 信任策略允许EC2服务假定角色：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "ec2.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

• 角色附加AWSElasticBeanstalkWebTier或AWSElasticBeanstalkWorkerTier托管策略，确保EC2实例能正常与Elastic Beanstalk通信

4. 环境重建操作建议 #

删除当前处于Warning状态的Elastic Beanstalk环境，重新创建环境时手动指定正确的服务角色和实例配置文件，避免直接在失败环境上重建导致的配置残留问题。

5. PoweruserAccess权限说明 #

你的PoweruserAccess权限允许管理除IAM根用户、组织外的大部分AWS服务，但角色配置问题核心不在用户权限，而在于角色本身的信任关系和权限策略是否符合Elastic Beanstalk的要求。

内容的提问来源于stack exchange，提问作者Rafael Moreira