API Gateway部署时apigateway:TagResource权限缺失问题求助

报错信息 #

xxxx is not authorized to perform: apigateway:TagResource on resource xxx

当前配置的IAM权限策略 #

{
    "Effect": "Allow",
    "Action": [
        "apigateway:DELETE",
        "apigateway:PUT",
        "apigateway:PATCH",
        "apigateway:POST",
        "apigateway:GET"
    ],
    "Resource": [
        "arn:aws:apigateway:*::/restapis*",
        "arn:aws:apigateway:*::/apikeys*",
        "arn:aws:apigateway:*::/usageplans*",
        "arn:aws:apigateway:*::/domainnames*",
        "arn:aws:apigateway:*::/tags*",
        "arn:aws:apigateway:*::/apis*"
    ],
    "Condition": {
        "StringLikeIfExists": {
            "apigateway:Request/apiName": "my-api*"
        }
    }
}

解决方法 #

1. 添加明确的TagResource权限
   当前策略中的apigateway:POST等通用动作不包含TagResource这个独立权限，需要在Action数组中直接添加"apigateway:TagResource"。

2. 验证资源ARN匹配
   确认报错中的目标资源ARN被包含在你配置的Resource列表里。比如如果是REST API资源，确保arn:aws:apigateway:*::/restapis/*（注意末尾的/*）能覆盖到具体的API实例，避免通配符范围不足。

3. 检查条件限制
   如果执行TagResource操作的API名称符合my-api*前缀，现有Condition不会影响权限生效；如果不符合，需要调整Condition规则或者确保操作的API名称满足前缀要求。

补充说明 #

IAM控制台的可视化权限选择界面可能不会列出所有AWS服务的细粒度权限，遇到这种情况直接手动编辑JSON策略添加所需权限即可，无需依赖控制台选项。

内容的提问来源于stack exchange，提问作者DilLip_Chowdary