执行Liquibase update时提示权限拒绝的原因排查求助

• 确认CodeBuild任务的IAM角色权限范围
  检查IAM角色是否包含Liquibase操作目标资源（如RDS、S3等）的完整权限，比如操作RDS时需包含rds:ModifyDBInstance、rds:Connect等权限；同时确认权限策略的资源范围未过度限制，必要时可临时使用宽松资源（如*）测试是否为范围问题。另外要确保该角色已正确关联到CodeBuild任务，可在项目「环境」配置中核对服务角色选择是否正确。

• 验证Liquibase配置文件的身份认证逻辑
  若使用AWS IAM认证连接数据库，需确保配置文件指定了正确的认证方式，示例liquibase.properties配置：

  url=jdbc:mysql://your-rds-endpoint:3306/dbname?enabledSslProtocolSuites=TLSv1.2&useAwsIamAuth=true
  driver=com.mysql.cj.jdbc.Driver
  username=your-iam-username
  authenticationPlugin=software.amazon.jdbc.auth.IamAuthenticationPlugin
  

  避免混用静态密码与IAM认证，防止认证方式冲突引发权限问题。

• 检查CodeBuild环境的文件权限
  Liquibase执行时需读取配置文件（如changelog.xml、liquibase.properties）或写入日志，要确保这些文件所在目录对CodeBuild运行用户（通常为root或codebuild-user）具备读写权限。可在BuildSpec中添加步骤排查：

  ls -l /path/to/liquibase-files
  

  若权限不足，用chmod调整，比如chmod 644 liquibase.properties。

• 开启Liquibase调试日志定位根源
  执行update命令时添加--log-level=DEBUG参数获取详细错误信息：

  liquibase update --log-level=DEBUG
  

  日志会明确显示是访问哪类资源时被拒绝——是IAM权限、文件系统权限，还是数据库内部用户权限问题。

• 确认数据库端的权限配置
  即使IAM角色权限充足，数据库内部映射的用户也需具备对应DDL权限（如CREATE TABLE、ALTER TABLE）。可登录数据库执行对应授权语句测试，比如MySQL环境：

  GRANT ALL PRIVILEGES ON your_db.* TO 'your-iam-user'@'%';
  

内容的提问来源于stack exchange，提问作者Riaz