AWS控制台无法从账号A切换至账号B扮演角色，CLI可行，是否可单独拦截？

核心原因 #

控制台切换角色失败的关键在于身份不匹配：

• 你在控制台的操作路径是「账号X → 扮演账号A的角色」，此时你的当前身份是账号A中的某个角色（而非账号A的根用户），但账号B的角色信任策略仅允许账号A的根用户访问，所以控制台的角色切换请求被拒绝。
• CLI操作成功，大概率是你在CLI中使用了账号A的根用户凭证（Access Key/Secret Access Key）调用aws sts assume-role，此时身份符合账号B的信任策略要求，因此操作成功。

验证步骤 #

• 控制台端：进入IAM控制台 → 「我的安全凭证」，查看当前会话的ARN，确认其格式为arn:aws:iam::账号A-ID:role/xxx（而非根用户的arn:aws:iam::账号A-ID:root）。
• CLI端：执行命令 aws sts get-caller-identity，查看返回的ARN是否为账号A的根用户ARN，以此验证身份差异。

解决方法 #

1. 调整账号B的角色信任策略（推荐）
   修改信任策略，允许你在账号A中使用的角色访问，而不是仅限制根用户。示例策略如下：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::账号A-ID:role/你在A中使用的角色名称"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

   注意：遵循最小权限原则，仅添加需要的角色ARN，避免开放过大权限。

2. 使用账号A的根用户登录控制台（不推荐）
   若必须仅允许根用户切换，需先从账号A的角色切换回根用户后再操作，但根用户权限极高，存在安全风险，不建议日常使用。

内容的提问来源于stack exchange，提问作者Erik Asplund