IAM用户含AdministratorAccess权限无法创建Redshift角色求助

1. 检查IAM用户直接附加的策略 #

尽管用户隶属于拥有AdministratorAccess权限的用户组，但如果该用户自身被直接附加了包含iam:CreateRole显式拒绝的策略，会优先覆盖用户组的允许权限（IAM权限评估逻辑中，显式拒绝优先级最高）。

• 操作：进入IAM控制台，找到该用户，切换到「权限」标签，查看所有直接附加的策略，检查是否存在类似语句：

  {
    "Effect": "Deny",
    "Action": "iam:CreateRole",
    "Resource": "*"
  }
  

  若存在，移除该拒绝策略即可。

2. 确认用户组的AdministratorAccess策略合法性 #

确保用户组附加的是AWS官方托管的AdministratorAccess策略，而非自定义的同名策略。自定义策略可能被修改添加了显式拒绝条款。

• 操作：进入IAM用户组页面，查看该组的附加策略，点击AdministratorAccess查看详情，确认策略内容为全允许（"Effect": "Allow", "Action": "*", "Resource": "*"），无任何Deny语句。

3. 检查IAM权限边界（Permission Boundary） #

该IAM用户可能被设置了权限边界，边界策略中拒绝了iam:CreateRole操作。权限边界会限制用户的最大可用权限，即使有管理员权限组，也无法突破该限制。

• 操作：在IAM用户的「权限」标签下，查看「权限边界」区域，若有附加策略，检查其中是否包含iam:CreateRole的显式拒绝，或未明确允许该操作（权限边界默认拒绝未明确授权的操作）。

4. 排查服务控制策略（SCP） #

如果当前AWS账号属于AWS组织（AWS Organization），组织根节点或账号所在OU可能配置了服务控制策略（SCP），拒绝了iam:CreateRole操作。SCP会作用于账号内所有IAM实体，包括管理员用户。

• 操作：进入AWS Organizations控制台，找到该账号所在的OU，查看附加的SCP策略，确认是否存在针对iam:CreateRole的Deny语句。

5. 检查会话策略（Session Policy） #

若用户是通过角色切换或临时凭证登录，会话可能附加了限制权限的策略，其中包含iam:CreateRole的显式拒绝。

• 操作：确认登录方式，若使用临时凭证，检查生成凭证时附加的会话策略内容。

内容的提问来源于stack exchange，提问作者OctaveParango