AWS角色权限异常：添加EC2/SSM权限仍遇AccessDeniedException

AI 小北

2026-8-20

AWS角色权限问题分析与解决

这不是AWS Bug，完全是权限策略的遗漏和范围问题导致的，具体原因如下：

1. SSM连接错误的直接原因

你收到的AccessDeniedException提到需要ssm-guiconnect:StartConnection权限，但你之前的策略只授权了ssm:*——ssm-guiconnect是独立于SSM的服务命名空间，ssm:*并不会覆盖这个命名空间下的动作，所以必须单独添加ssm-guiconnect:*的授权。

2. EC2实例启动后自动停止的原因

虽然你添加了ec2:*，但EC2实例启动可能依赖其他服务的权限：

如果实例使用了加密EBS卷，需要kms:Decrypt权限才能挂载卷
如果实例通过SSM参数存储获取启动配置，需要ssm:GetParameter等权限
部分高级实例特性（如实例元数据服务v2）可能涉及其他隐性权限
这些跨服务动作不在ec2:*或ssm:*的覆盖范围内，权限不足会导致实例启动后被强制终止。

修正后的精准权限策略

不需要给全量*权限，只需补充遗漏的动作即可：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                // 核心EC2操作
                "ec2:StartInstances",
                "ec2:StopInstances",
                // SSM基础操作
                "ssm:*",
                // SSM图形化连接权限
                "ssm-guiconnect:*",
                // 可选：如果用了加密卷，添加KMS权限
                "kms:Decrypt",
                // 可选：如果用了SSM参数存储，添加对应权限
                "ssm:GetParameter"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": [
                        "eu-west-1",
                        "eu-central-1"
                    ]
                }
            }
        }
    ]
}