AWS多账号组织中SecurityHub/GuardDuty访问权限不足排查求助

• 隐性SCP限制：虽然你确认过无SCP拦截，但要排查是否存在带条件的SCP——比如限制了特定区域、请求IP，或者SCP里的Deny语句没明确排除SecurityHub/GuardDuty相关操作。另外，组织根节点的SCP可能覆盖子OU配置，得重新遍历所有层级的SCP。
• 账号级服务禁用：检查目标账号是否通过AWS Organizations或控制台直接禁用了这两个服务。可以用aws organizations list-disabled-services-for-account命令查看禁用列表。
• 资源策略冲突：SecurityHub和GuardDuty支持资源策略，比如SecurityHub的发现器策略、GuardDuty的检测器配置，可能存在拒绝特定主体访问的规则。可以通过aws securityhub get-finding-aggregator等命令查看配置。
• IAM身份策略的隐性拒绝：全权限IAM用户可能绑定了权限边界（Permissions Boundary），边界策略可能限制了这两个服务的操作。另外如果用户用了临时凭证（比如角色切换），会话策略也可能覆盖原有权限。
• 区域不匹配：确认你访问的区域是这两个服务已启用的区域。如果切换到未启用的区域，会直接出现访问拦截的情况。
• AWS服务状态异常：去AWS Health Dashboard查一下目标区域的SecurityHub/GuardDuty是否有服务中断或故障。有时候服务故障会伪装成权限拦截的问题。
• 身份验证问题：根账号或IAM用户是否开了MFA？如果MFA验证失败（令牌过期、设备问题），哪怕权限足够也会被拒绝。可以试试重新验证MFA，或者测试环境临时禁用MFA排查。
• 组织架构变更的权限失效：如果这一年里组织架构有调整（比如账号移到新OU、根节点配置变更），之前的权限继承关系可能失效。得确认目标账号所在OU的SCP、IAM角色继承是否正常。

内容的提问来源于stack exchange，提问作者jazzmasterkc