执行aws sts decode-authorization-message遇AccessDenied问题求助

• 确认当前生效身份：错误提示用户为空白，说明实际调用的身份可能不是你配置了策略的IAM用户/角色。执行aws configure list查看当前CLI使用的access key所属身份；如果用的是实例角色或临时角色，检查关联的身份是否正确。
• 验证策略细节：
  • 检查内联策略的Action是否准确为sts:DecodeAuthorizationMessage，无拼写错误
  • 确认策略Resource设置为*（该API无需特定资源），且没有附加限制条件（如IP、MFA要求）导致当前环境不满足
• 排查临时凭证问题：如果使用STS临时凭证（如AssumeRole生成），需确认原身份与角色的权限交集包含该操作，且角色信任策略允许原身份调用，同时临时凭证未过期。
• 检查CLI配置优先级：AWS CLI会优先读取环境变量、实例元数据等配置，可能你使用的并非预期的用户配置。排查环境变量AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY是否覆盖了本地配置。
• 确认策略生效状态：IAM策略偶尔存在生效延迟，可尝试重新关联策略或等待数分钟后重试；也可通过IAM Access Analyzer检查策略是否存在语法或逻辑错误。
• 检查会话令牌：若为启用MFA的用户，需确保调用命令时携带了有效会话令牌（通过aws sts get-session-token获取），否则可能触发策略的MFA限制。
• 查看CloudTrail日志：搜索对应的DecodeAuthorizationMessage调用记录，通过userIdentity字段确认实际发起请求的身份，同时查看详细错误信息定位拒绝原因。

内容的提问来源于stack exchange，提问作者electronic-trip-1200