AWS Elastic Beanstalk教程CDK引导失败：IAM权限问题求助

权限配置步骤（解决当前AccessDenied错误） #

• 登录AWS IAM控制台，定位到你的storygraf-builderIAM用户
• 为该用户附加权限：
  • 快速方案：直接附加AWS托管策略CloudFormationReadOnlyAccess（包含所有CloudFormation只读操作权限，满足bootstrap需求）
  • 最小权限方案：创建自定义策略并附加，策略内容如下：

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "cloudformation:DescribeStacks",
                "Resource": "arn:aws:cloudformation:us-east-2:00xxxxxxxxxx:stack/CDKToolkit/*"
            }
        ]
    }
    

• 保存权限配置后，重新执行bootstrap命令：

  cdk bootstrap aws://00xxxxxxxxxx/us-east-2 --profile storygraf
  

• 验证权限是否生效：执行以下CLI命令，若返回栈信息（或栈不存在的提示，而非AccessDenied），则配置正确：

  aws cloudformation describe-stacks --stack-name CDKToolkit --region us-east-2 --profile storygraf
  

针对你的疑问的解答 #

1. 为何对已有交互权限的资源进行引导还需额外策略？ #

CDK Bootstrap的核心是通过CloudFormation创建和维护CDKToolkit栈，这个过程需要的CloudFormation操作权限（比如DescribeStacks）和你之前拥有的Elastic Beanstalk交互权限是完全独立的权限组，两者没有重叠，所以即使你能操作Elastic Beanstalk资源，也需要额外配置CloudFormation相关权限。

2. 教程为何未提及策略配置？ #

绝大多数AWS官方教程默认用户使用的是具备AdministratorAccess权限的IAM身份，这种权限覆盖了CDK Bootstrap所需的所有操作，因此不会单独说明权限配置步骤。只有当你使用最小权限原则创建的受限用户时，才会遇到这类权限缺失问题。

3. 如何配置、在哪里配置，以及如何验证配置正确？ #

• 配置位置：AWS IAM控制台的用户权限管理页面（找到对应用户后，进入「权限」标签页）
• 配置方式：如上文所述，选择托管策略或自定义最小权限策略附加给用户
• 验证方式：除了重新执行bootstrap命令外，还可以用CLI直接调用cloudformation:DescribeStacks接口（就是上文提到的验证命令），只要不返回AccessDenied错误，就说明权限配置有效。

4. 为何相关内容未被提及，是否默认我已完成该操作？ #

是的，教程默认你要么使用管理员权限用户，要么已经提前完成了CDK所需的基础权限配置。这是AWS文档的常见默认前提，因为如果要覆盖所有最小权限场景，教程的篇幅会大幅增加，反而不利于快速上手。

内容的提问来源于stack exchange，提问作者Joshua Foxworth