使用Boto3更新ECS服务遇AccessDeniedException权限问题求助

问题场景 #

使用Python Boto3调用UpdateService更新ECS服务时，仅在修改taskdef时触发以下错误：

An error occurred (AccessDeniedException) when calling the UpdateService operation: User: arn:aws:sts::xxx:assumed-role/infra-conductors/infra-conductors is not authorized to perform: iam:PassRole on resource: arn:aws:iam::xxx:role/ecs/ecsTaskExecutionRole-test with an explicit deny in a service control policy

已配置的Lambda权限策略：

{
    "Action": [
        "iam:PassRole"
    ],
    "Effect": "Allow",
    "Resource": [
        "arn:aws:iam::xxx:role/ecs/ecsTaskExecutionRole-test"
    ],
    "Sid": "test"
}

Lambda角色的信任策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com",
                    "ecs.amazonaws.com",
                    "ecs-tasks.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

注：Lambda已具备重启ECS服务、修改desiredCount的权限，仅更新taskdef时触发错误。

问题原因 #

错误信息明确指出存在服务控制策略（SCP）中的显式拒绝规则，SCP是AWS组织层面的权限控制机制，优先级高于IAM用户/角色的权限策略。即使Lambda角色的IAM策略允许iam:PassRole，只要SCP中有对应的拒绝规则，该操作就会被阻止。

解决步骤 #

1. 排查组织SCP

   • 登录AWS Organizations控制台，定位当前账户所属的组织单元（OU）。
   • 查看该OU下附加的所有SCP，查找包含"Effect": "Deny"且涉及iam:PassRole动作、目标资源包含arn:aws:iam::xxx:role/ecs/ecsTaskExecutionRole-test的策略语句。

2. 调整SCP规则

   • 如果找到对应的拒绝语句，需添加例外规则，允许arn:aws:sts::xxx:assumed-role/infra-conductors/infra-conductors对目标执行角色进行iam:PassRole操作。例如：

     {
         "Effect": "Deny",
         "Action": "iam:PassRole",
         "Resource": "*",
         "NotPrincipal": {
             "AWS": "arn:aws:sts::xxx:assumed-role/infra-conductors/infra-conductors"
         }
     }
     

   • 或者单独添加一条允许的SCP语句，确保覆盖拒绝规则的影响（注意SCP中显式拒绝优先级最高，需保证允许规则的针对性）。

3. 验证权限

   • 修改SCP后等待数分钟让策略生效，再重新测试UpdateService调用，确认错误是否解除。

内容的提问来源于stack exchange，提问作者reachlin