AWS控制台修改IAM权限后本地CLI未生效，求解决方案及生效时效

前提条件 #

• 日常使用aws-mfa工具
• 执行terraform apply时遇到IAM权限不足问题，参考过相关合理解决方案

已执行操作 #

• 为所属IAM组的策略添加了sts:DecodeAuthorizationMessage权限
• 在本地以IAM用户身份执行sts get-caller-identity检查
• IAM策略模拟器显示该IAM组包含的用户已被允许执行sts:DecodeAuthorizationMessage

问题 #

添加的IAM权限未在本地CLI生效，仍报错：

<my IAM USER> is not authorized to perform: sts:DecodeAuthorizationMessage with an explicit deny in an identity-based policy

解决方案与相关说明 #

1. 权限不生效的排查与解决 #

• 排查显式拒绝策略：报错明确指出存在身份型策略的显式拒绝，需逐一检查：
  • 该IAM用户直接绑定的策略中，是否有Deny语句包含sts:DecodeAuthorizationMessage
  • 用户所属的其他IAM组，是否存在带显式拒绝的策略
  • 账户级别的服务控制策略（SCP）是否限制了该权限
• 刷新MFA会话凭证：因为使用aws-mfa生成临时会话，旧凭证不会自动同步新权限，重新执行MFA认证生成新凭证即可：

  # 示例命令，根据实际工具参数调整
  aws-mfa --profile 你的配置文件名
  

• 确认CLI配置文件：检查当前CLI使用的profile是否对应目标用户，执行以下命令验证：

  aws configure list --profile 你的配置文件名
  

• 核对权限优先级：IAM权限遵循「显式拒绝优先」规则，只要存在一条显式拒绝策略，即使有允许策略也会被阻断，可通过IAM控制台的「访问顾问」查看用户实际生效的权限

2. AWS权限生效延迟时长 #

• 管理控制台：IAM策略修改后通常1-5分钟内生效，极端场景可能延长至10分钟
• AWS CLI/SDK：永久凭证的权限同步通常也是1-5分钟，但如果使用临时凭证（如MFA会话），旧凭证会沿用原有权限直到过期

3. 让本地CLI立即生效新权限的方法 #

• 重新生成MFA临时凭证：直接重新执行aws-mfa认证流程，新生成的临时会话会加载最新的IAM权限
• 清除CLI缓存：AWS CLI会缓存权限数据，删除缓存目录强制刷新：
  • Linux/macOS：rm -rf ~/.aws/cli/cache
  • Windows：删除C:\Users\<你的用户名>\.aws\cli\cache目录
• 重新配置凭证：显式指定profile重新配置，或直接覆盖现有凭证：

  aws configure --profile 你的配置文件名
  

内容的提问来源于stack exchange，提问作者shIbaInu42