使用Boto3创建/更新AWS IAM策略时的报错问题咨询

核心问题分析 #

你的代码存在几个关键逻辑和语法错误，导致出现两种矛盾的报错：

• 首次运行时直接调用get_policy查询策略，策略不存在就抛出异常，无法进入创建流程
• 策略手动创建后，代码依然执行create_policy，但该API不允许重复创建同名策略，因此报错“策略已存在”
• 额外还有ARN格式错误、JSON处理错误、变量名不匹配等问题

修复后的完整代码 #

import json
from django.http import JsonResponse

def manage_iam_policy(request):
    # 修正拼写错误：service_vaule -> service_value
    region = request.POST['env']
    env = request.POST['env']  # 假设env和region是同一个值，根据实际场景调整
    session = get_boto3_session(env=env)
    client = session.client('iam')  # IAM是全局服务，无需指定region

    service_name = request.POST['service_name']
    service_value = request.POST['service_value']
    group_name = request.POST['group']
    policy_name = request.POST['policy_name']

    # 获取当前账号ID，构造正确的IAM策略ARN
    account_id = session.client('sts').get_caller_identity()['Account']
    policy_arn = f'arn:aws:iam::{account_id}:policy/{policy_name}'

    # 检查策略是否存在
    policy_exists = False
    current_policy_arn = policy_arn
    try:
        response = client.get_policy(PolicyArn=policy_arn)
        policy_exists = True
        current_policy_arn = response['Policy']['Arn']
    except client.exceptions.NoSuchEntityException:
        # 策略不存在，后续执行创建逻辑
        pass

    # 构造策略文档（先保留字典格式，完成修改后再转JSON）
    my_managed_policy = {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [f"{service_name}:{service_value}"],
                "Resource": "*"
            }
        ]
    }
    policy_document = json.dumps(my_managed_policy)

    if not policy_exists:
        # 创建新策略并附加到用户组
        response = client.create_policy(
            PolicyName=policy_name,
            PolicyDocument=policy_document
        )
        current_policy_arn = response["Policy"]["Arn"]
        client.attach_group_policy(
            GroupName=group_name,
            PolicyArn=current_policy_arn
        )
    else:
        # 更新现有策略：处理版本限制后创建新版本
        versions = client.list_policy_versions(PolicyArn=current_policy_arn)['Versions']
        # IAM策略最多保留5个版本，超过则删除最旧的非默认版本
        if len(versions) >= 5:
            for version in versions:
                if not version['IsDefaultVersion']:
                    client.delete_policy_version(
                        PolicyArn=current_policy_arn,
                        VersionId=version['VersionId']
                    )
                    break
        # 创建新版本并设为默认
        client.create_policy_version(
            PolicyArn=current_policy_arn,
            PolicyDocument=policy_document,
            SetAsDefault=True
        )

    return JsonResponse({"msg": "policy created/updated successfully"})

关键修复点说明 #

1. 策略存在性判断：

   • 用try-except捕获NoSuchEntityException来判断策略是否存在，避免直接报错中断流程
   • 根据存在性分支执行创建或更新逻辑

2. ARN格式修正：

   • IAM策略的ARN格式为arn:aws:iam::ACCOUNT_ID:policy/POLICY_NAME，并非使用region，通过STS获取当前账号ID构造正确ARN
   • IAM是全局服务，创建client时无需指定region

3. JSON处理修正：

   • 先构造Python字典格式的策略文档，完成修改后再用json.dumps转成JSON字符串，避免对字符串执行字典操作的错误

4. 变量名与拼写修正：

   • 修正service_vaule为service_value、sucesfully为successfully
   • 统一group和pod为group_name，避免变量不匹配

5. 更新逻辑完善：

   • 策略存在时调用create_policy_version更新，同时处理IAM策略最多5个版本的限制
   • 仅在创建新策略时执行附加到用户组的操作，避免重复附加

内容的提问来源于stack exchange，提问作者Pranisha Pintraj