启用IAM授权后API Gateway返回403 Forbidden问题求助

• 核对Postman的AWS Signature配置细节

  • 确认Access Key和Secret Key为当前账号的有效密钥，无大小写错误、多余空格
  • 验证Region与API Gateway部署的区域完全匹配，比如API部署在ap-southeast-1就不能选ap-northeast-1
  • 检查Service Name是否设置为execute-api，这是API Gateway签名验证要求的固定服务名，填错会直接导致签名无效

• 检查API Gateway的权限与配置

  • 虽然账号拥有AdminFullAccess，但需确认API的资源策略是否存在限制：进入API Gateway控制台，找到对应API的资源策略，排查是否有拒绝当前账号访问的规则
  • 确认API方法的授权类型设置正确：在API Gateway的方法配置中，确保授权类型为AWS_IAM，而非其他选项

• 用AWS CLI验证签名与权限

  • 执行CLI命令手动调用API，对比Postman的结果：

    aws apigateway test-invoke-method --rest-api-id <你的API ID> --resource-id <目标资源ID> --http-method <请求方法> --region <API部署区域>
    

    如果CLI调用成功，说明Postman签名配置有误；如果CLI也返回403，说明账号或API的权限配置存在问题

• 开启API Gateway调试日志定位问题

  • 由于未收到调试响应头，可开启CloudWatch日志：进入API Gateway控制台的阶段设置，将日志级别设为INFO或DEBUG，重新调用API后查看CloudWatch日志，日志会明确标注签名失败原因、权限缺失项等具体问题

• 排查临时凭证（若使用）

  • 如果使用STS临时凭证，确认凭证未过期，且会话策略中包含execute-api:Invoke权限
  • 即便是AdminFullAccess账号，临时凭证可能因附加的会话策略被限制，需检查STS会话的权限配置

内容的提问来源于stack exchange，提问作者TheSQLGoat