创建DynamoDB拒绝访问策略后，非目标表显示加载失败的问题排查

这个问题我碰到过好几次，核心是AWS控制台的行为和IAM权限评估的细节没匹配上，咱们一步步拆解：

首先，你看到的现象：非目标表在列表里显示“加载失败”但点击能访问，是因为控制台列表演示时会自动调用dynamodb:DescribeTable获取表的元数据（比如状态、结构），而点击表时执行的是Scan/Query/GetItem这类数据读取动作——这俩是完全不同的权限点。

那为什么非目标表的DescribeTable会失败？按道理你的ReadOnlyAccess托管策略已经允许了所有表的DescribeTable，而你的Deny策略只针对目标表。这里大概率是两个原因之一：

1. 通配符动作的潜在意外影响 #

看你当前的策略，用了dynamodb:BatchGet*、dynamodb:Get*这类通配符——虽然这些本身不包含DescribeTable，但控制台的某些隐式调用可能触发意想不到的权限检查；或者更可能是你在策略编写后遇到了控制台缓存问题。

2. AWS控制台的权限缓存 #

控制台经常会缓存权限评估结果，尤其是当你刚修改完策略时。退出重登、清除浏览器缓存，或者用无痕窗口测试，大概率能解决这个“假失败”的问题。

解决办法：优化Deny策略，精准控制权限 #

为了彻底避免这类问题，建议把策略里的通配符换成具体的动作，这样能明确知道哪些权限被拒绝，不会有意外影响：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        // 拒绝目标表的所有只读操作（包括查看表结构，让列表显示加载失败）
        "dynamodb:BatchGetItem",
        "dynamodb:DescribeTable",
        "dynamodb:GetItem",
        "dynamodb:Query",
        "dynamodb:Scan",
        // 拒绝目标表的所有写操作
        "dynamodb:BatchWriteItem",
        "dynamodb:DeleteItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:CreateTable",
        "dynamodb:DeleteTable",
        "dynamodb:UpdateTable"
      ],
      "Resource": "arn:aws:dynamodb:xx-xx-xx:xxxxxxx:table/some-name"
    }
  ]
}

验证步骤 #

1. 先确认你的目标表ARN完全正确：区域、账户ID、表名一个都不能错，ARN格式是arn:aws:dynamodb:区域:账户ID:table/表名
2. 用AWS CLI测试非目标表的DescribeTable权限：

   aws dynamodb describe-table --table-name 非目标表名 --region xx-xx-xx
   

   如果CLI能正常返回表信息，说明权限本身没问题，就是控制台缓存的锅；如果CLI也失败，那你得检查有没有其他策略（比如权限边界、组织SCP）在限制权限。
3. 退出AWS控制台重新登录，再看列表显示是否正常。

这样调整后，目标表会因为DescribeTable被拒绝而显示“加载失败”，且无法读写数据；其他表因为ReadOnlyAccess的允许，能正常显示元数据和访问数据。

内容的提问来源于stack exchange，提问作者mealesbia