AWS中无法创建VPN客户端及端点，权限拒绝问题求助

报错截图 #

• 无法创建VPN端点：
• 无法创建角色：

核心排查与修复步骤 #

1. 检查AWS组织SCP策略
   Root账号被限制的最可能原因是组织层面的服务控制策略（SCP）。登录AWS Organizations控制台，查看当前账户关联的SCP，确认是否存在以下规则：

   • 明确拒绝ec2:CreateClientVpnEndpoint、iam:CreateRole操作
   • 限制了VPN端点或IAM角色相关资源的创建权限
     若有此类限制，需修改SCP添加允许语句，或移除对应拒绝规则。

2. 核查账户级IAM边界策略
   进入IAM控制台的「账户设置」页面，查看是否为账户附加了IAM边界策略。边界策略会对所有用户（包括Root）生效，确认是否包含阻止创建VPN端点或IAM角色的配置。

3. 检查合规与安全工具拦截
   若启用了AWS Config、GuardDuty或第三方合规工具，可能存在自动阻止资源创建的规则。查看这些工具的告警记录和规则配置，确认是否误拦截了目标操作。

4. 验证资源策略限制
   检查目标VPC、子网的资源策略，是否存在阻止创建VPN端点的权限设置；同时确认IAM服务是否有资源策略限制角色创建。

5. CLI命令获取详细报错
   使用AWS CLI执行创建命令，获取更精准的错误信息：

   # 创建VPN端点示例
   aws ec2 create-client-vpn-endpoint --client-cidr-block 10.0.0.0/16 --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/abc123-xyz456
   # 创建IAM角色示例
   aws iam create-role --role-name TestVPNRole --assume-role-policy-document '{"Version": "2012-10-17", "Statement": [{"Effect": "Allow", "Principal": {"Service": "ec2.amazonaws.com"}, "Action": "sts:AssumeRole"}]}'
   

   根据返回的错误代码和描述，定位具体的权限限制点。

内容的提问来源于stack exchange，提问作者Emo