API Gateway集成CloudSearch遇权限问题：如何更新服务关联角色？

问题背景与配置情况 #

我已拥有CloudSearch域和API Gateway，正在执行AWS官方文档中的集成步骤。当前配置如下：

CloudSearch域访问策略 #

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::********:role/aws-service-role/ops.apigateway.amazonaws.com/AWSServiceRoleForAPIGateway"
      },
      "Action": "cloudsearch:*"
    }
  ]
}

预期IAM角色要求 #

权限策略

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "logs:CreateLogGroup",
      "logs:CreateLogStream",
      "logs:DescribeLogGroups",
      "logs:DescribeLogStreams",
      "logs:PutLogEvents",
      "logs:GetLogEvents",
      "logs:FilterLogEvents"
    ],
    "Resource": "*"
  }]
}

信任关系

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "",
    "Effect": "Allow",
    "Principal": {
      "Service": "apigateway.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }]
}

遇到的问题 #

• 自动生成的AWSServiceRoleForAPIGateway服务关联角色无法编辑权限或信任关系：缺少所需的logs:*权限，且信任主体为ops.apigateway.amazonaws.com，而非预期的apigateway.amazonaws.com。
• 调用API时触发错误：

Execution failed due to configuration error: API Gateway
does not have permission to assume the provided role
arn:aws:iam::********:role/aws-service-role/ops.apigateway.amazonaws.com/AWSServiceRoleForAPIGateway

• 尝试创建了一个关联AmazonAPIGatewayPushToCloudWatchLogs策略的新API Gateway服务关联角色（具备正确权限和信任关系），但调用仍返回相同错误。

解决方案 #

1. 修正API Gateway集成的执行角色配置 #

进入API Gateway控制台，定位到目标API和对应的资源：

• 打开集成请求设置，检查执行角色字段，确认此处指定的是你新创建的、符合要求的角色ARN，而非自动生成的旧角色。
• 替换为正确角色后，保存配置并重新部署API。

2. 处理服务关联角色的限制 #

AWS托管的服务关联角色（如AWSServiceRoleForAPIGateway）由AWS统一管理，无法直接编辑信任关系，也不能随意附加自定义策略，仅适用于特定服务操作场景。你有两种选择：

• 使用合规的服务关联角色：查找信任主体为apigateway.amazonaws.com的API Gateway服务关联角色，手动为其附加允许cloudsearch:*操作的自定义权限策略，同时确保CloudSearch访问策略中的Principal指向该角色ARN。
• 创建自定义IAM角色（推荐）：
  1. 配置信任关系为允许apigateway.amazonaws.com扮演该角色（即使用你提供的预期信任关系JSON）。
  2. 附加两个权限策略：
     • 托管策略AmazonAPIGatewayPushToCloudWatchLogs（满足日志权限需求）。
     • 自定义策略，允许对目标CloudSearch域执行所有cloudsearch:*操作。
  3. 在API Gateway集成请求中指定这个自定义角色。

3. 同步CloudSearch访问策略 #

确保CloudSearch域的访问策略中，Principal字段的值是你实际使用的角色ARN（新服务关联角色或自定义角色），而非旧的ops.apigateway.amazonaws.com下的角色ARN。

4. 验证角色信任关系 #

确认你使用的角色的信任关系中，服务主体是apigateway.amazonaws.com——ops.apigateway.amazonaws.com是API Gateway操作服务的专用主体，不适用于集成访问CloudSearch的场景。

关于服务关联角色的附加策略说明 #

AWS托管的服务关联角色通常不支持手动附加自定义策略，因为这类角色的权限由AWS根据服务需求自动维护。如果必须扩展权限，建议使用自定义IAM角色，而非修改服务关联角色。

内容的提问来源于stack exchange，提问作者Brandon Gano