使用Terraform创建IAM类型QuickSight用户遇权限问题，如何解决？

我来帮你排查这个问题——虽然你的角色已经附加了AdministratorAccess权限，但QuickSight的RegisterUser操作有一些特殊的权限配置要求，咱们一步步来解决：

1. 先确认QuickSight账户的IAM访问开关 #

QuickSight默认可能限制了IAM身份的访问，这是最容易忽略的点：

• 登录QuickSight控制台，点击右上角你的头像 → 管理QuickSight
• 进入账户设置页面，找到「IAM访问」板块
• 确保已勾选「允许IAM用户和角色访问此QuickSight账户」，同时确认默认命名空间（default）的访问权限是开放的

2. 检查角色的权限边界与策略限制 #

虽然AdministratorAccess是全权限策略，但有可能存在以下限制：

• 权限边界（Permission Boundary）：检查你的角色是否附加了权限边界策略，如果有，确认该边界没有拒绝quicksight:RegisterUser操作
• 自定义修改的AdministratorAccess：有些组织会修改默认的AdministratorAccess策略，移除部分服务权限。你可以直接查看角色的附加策略，确认是否包含"quicksight:*"或者明确的"quicksight:RegisterUser"权限

3. 修正Terraform配置中的细节错误 #

报错里的资源路径是arn:aws:quicksight:eu-west-1:xxxxx:user/default/user_to_create，要确保你的Terraform配置匹配这些细节：

• 确认identity_type设置为"IAM"
• iam_arn要填写角色的永久ARN（比如arn:aws:iam::xxxxxxxx:role/yyyy），而不是报错里的STS临时会话ARN
• namespace必须设置为"default"

正确的配置片段示例：

resource "aws_quicksight_user" "target_user" {
  aws_account_id = "xxxxxxxx" # 替换为你的AWS账户ID
  namespace      = "default"
  user_name      = "user_to_create"
  identity_type  = "IAM"
  iam_arn        = "arn:aws:iam::xxxxxxxx:role/yyyy" # 执行Terraform的角色ARN
  email          = "user_to_create@yourdomain.com"
  role           = "AUTHOR" # 根据需求选择ADMIN/READER/AUTHOR
}

4. 排查STS临时会话的会话策略 #

如果你是通过STS临时会话执行Terraform（比如使用角色切换），需要检查是否指定了会话策略——如果会话策略限制了QuickSight的权限，即使角色本身有全权限，临时会话也会被限制。确保会话策略包含quicksight:RegisterUser的允许权限。

5. 确认QuickSight账户已完成初始化 #

如果这是你第一次在该账户下创建QuickSight用户，需要先确保QuickSight账户已经完成初始化：比如至少手动创建过一个用户，或者配置了QuickSight的服务角色（用于访问其他AWS资源）。

内容的提问来源于stack exchange，提问作者Mohamed Amine Kharrez