如何为AWS子账户授予跨账户SAML Provider访问权限？

我没有跨账户权限配置经验，正在学习相关内容。已经搭建AWS多账户架构，根账户配置了SAML Provider，能成功连接到其他子账户。但在子应用账户（dev、staging、production）部署CDK栈时，出现无SAML Provider访问权限的报错（部署针对dev账户执行）。

相关CDK栈代码：

const samlProvider = iam.SamlProvider.fromSamlProviderArn(this, "saml-provider", "arn:aws:iam::XXXXXX");
const endpoint = this.vpc.addClientVpnEndpoint('Endpoint', {
  cidr: '10.10.0.0/16',
  serverCertificateArn: this.domainCert.certificateArn,
  userBasedAuthentication: ec2.ClientVpnUserBasedAuthentication.federated(samlProvider),
  authorizeAllUsersToVpcCidr: true,
});

我尝试在根账户添加内联策略授予SAML Provider的读取权限，但语法可能有误，策略内容如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GetSamlProvider",
            "Effect": "Allow",
            "Action": [
                "iam:GetSAMLProvider"
            ],
            "Resource": [
                "arn:aws:iam::XXXXXXX"
            ]
        }
    ]
}

执行后仍收到相同权限错误：You do not have access to supplied SAML Provider arn，求解决方法。

你的策略存在两个核心问题，修正后即可解决：

1. 补全Resource的完整ARN格式 #

IAM SAML Provider的ARN完整格式是arn:aws:iam::根账户ID:saml-provider/具体提供者名称，你之前只写了账户ID部分，策略无法匹配到目标资源。

2. 明确授权的主体 #

需要指定允许访问这个SAML Provider的子账户部署角色ARN，而不是泛泛地添加策略。

修正后的根账户资源策略 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDevAccountAccessSamlProvider",
            "Effect": "Allow",
            "Action": [
                "iam:GetSAMLProvider",
                "iam:ListSAMLProviders"
            ],
            "Resource": [
                "arn:aws:iam::根账户ID:saml-provider/你的SAML提供者名称"
            ],
            "Principal": {
                "AWS": "arn:aws:iam::dev子账户ID:role/执行CDK部署的角色名称"
            }
        }
    ]
}

配置注意事项 #

• 把占位符根账户ID、你的SAML提供者名称、dev子账户ID、执行CDK部署的角色名称替换为实际值
• 添加iam:ListSAMLProviders是因为CDK部署时会先校验提供者信息，需要这个权限
• 这个策略要直接附加到根账户的SAML Provider资源上，而不是根账户的用户或角色（资源拥有者授权外部主体访问的正确方式）

额外验证 #

确认dev账户中执行CDK部署的角色，其信任关系允许你用来部署的身份（比如本地AWS CLI用户、CI/CD角色）进行sts:AssumeRole操作，否则即使根账户授权了，子账户角色也无法被正常调用。

内容的提问来源于stack exchange，提问作者Lewis Ayers