CloudFormation栈更新失败时，如何定位缺失的具体IAM权限？

当CloudFormation返回模糊的Access denied for operation 'AWS::CloudFront::Distribution'错误时，可以通过以下几种方式获取具体的权限缺失信息：

• 启用CloudFormation详细日志记录
  进入CloudFormation栈的设置页面，开启详细日志记录选项。CloudFormation会将资源处理器的执行日志输出到指定的CloudWatch Logs日志组中。在日志组中搜索对应部署的RequestToken（即错误信息中的1014641b-7590-f7b3-2ea2-1ddcd32e92a3），可以找到资源处理器实际调用的IAM操作，比如cloudfront:UpdateDistribution或cloudfront:GetDistributionConfig等具体权限项。

• 用IAM模拟权限快速排查
  给CI临时添加iam:SimulatePrincipalPolicy权限，然后通过AWS CLI执行模拟命令，一次性检查所有CloudFront相关操作的权限状态：

  aws iam simulate-principal-policy --policy-source-arn arn:aws:iam::[你的账号ID]:user/[CI用户ARN] --action-names "cloudfront:*"
  

  命令返回结果会明确列出哪些CloudFront操作被拒绝，直接定位缺失的权限，无需逐个测试。

• 修正CloudTrail事件筛选逻辑
  之前未找到AccessDenied事件可能是筛选条件有误：

  • 切换到全局CloudTrail（若仅启用了区域CloudTrail，部分跨区域操作可能无法捕获）；
  • 调整时间范围到部署失败前后15分钟内；
  • 事件源选择cloudfront.amazonaws.com（而非CloudFormation的事件源）；
  • 如果CI流水线使用了CloudFormation服务角色，需要排查服务角色的CloudTrail事件，而非CI用户自身的事件。

• 通过资源文档反向推导必要权限
  参考AWS官方的AWS::CloudFront::Distribution资源文档，该资源的创建/更新流程通常需要以下核心权限：

  • cloudfront:CreateDistribution（首次创建）
  • cloudfront:UpdateDistribution（更新时）
  • cloudfront:GetDistribution
  • cloudfront:GetDistributionConfig
    若模板中配置了WAF关联、Origin Access Control（OAC）等附加功能，还需额外添加cloudfront:AssociateWebACL、cloudfront:CreateOriginAccessControl等对应权限。

内容的提问来源于stack exchange，提问作者JHH