SageMaker调用CreateModel时触发AccessDeniedException问题求助

算力阿峰

2026-8-23

解决SageMaker CreateModel AccessDeniedException问题

确认策略关联对象：检查你配置的允许策略是否正确附加到报错信息中的IAM角色sagemakeraccesstoservices上，而非其他用户或角色。

验证角色信任关系：确保sagemakeraccesstoservices角色的信任策略允许SageMaker服务扮演该角色，信任策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "sagemaker.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

排查会话策略限制：若使用STS临时凭证，检查是否存在会话策略（Session Policy），这类策略会额外限制角色权限，可能覆盖你配置的允许策略。
检查权限边界：如果角色设置了权限边界，需确认该边界允许sagemaker:CreateModel操作。权限边界会限定角色的最大权限范围，即使附加了允许策略，边界不允许的操作仍会被拒绝。
刷新权限缓存：IAM权限可能存在缓存延迟，可尝试重启SageMaker会话或重新获取STS凭证，确保最新权限生效。