Lambda调用Java SDK启动EMR遇权限错误：无策略允许RunJobFlow

错误核心分析 #

从报错信息来看，Lambda执行角色缺少在us-east-1区域执行elasticmapreduce:RunJobFlow的权限——尽管已附加AmazonEMRFullAccessPolicy_v2托管策略，但IAM未检测到允许该动作的身份策略。

可能原因及对应解决步骤 #

1. 托管策略未正确附加或内容不匹配 #

• 操作步骤：
  • 登录IAM控制台，定位到角色bex-one-identity-recon_role_us-west-2
  • 进入「权限」标签页，确认AmazonEMRFullAccessPolicy_v2已成功附加
  • 点击该托管策略，验证其中包含elasticmapreduce:RunJobFlow动作，且资源范围覆盖arn:aws:elasticmapreduce:us-east-1:978841875846:cluster/*

2. IAM策略未完成生效传播 #

IAM策略变更通常需要5-10分钟完成全局传播，若刚部署完CloudFormation，等待一段时间后重试即可。

3. 服务控制策略（SCP）或权限边界限制 #

• 若AWS账号属于组织单元，检查组织级SCP是否禁止了elasticmapreduce:RunJobFlow动作，或限制了us-east-1区域的EMR操作
• 检查角色是否设置了权限边界，确认边界策略未阻断该动作

4. 手动补充自定义权限（若托管策略异常） #

如果托管策略无法正常生效，可给角色添加以下自定义策略，明确授权目标区域的RunJobFlow操作：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "elasticmapreduce:RunJobFlow",
            "Resource": "arn:aws:elasticmapreduce:us-east-1:978841875846:cluster/*"
        }
    ]
}

5. 验证EMR默认角色存在性 #

Lambda代码中指定了EMR_DefaultRole和EMR_EC2_DefaultRole，需确保这两个角色在账号中存在：

• 使用AWS CLI检查：

  aws iam get-role --role-name EMR_DefaultRole
  aws iam get-role --role-name EMR_EC2_DefaultRole
  

• 若角色缺失，执行以下命令创建默认角色：

  aws emr create-default-roles
  

内容的提问来源于stack exchange，提问作者kms333