运行Greengrass V2 IDT时S3 Access Denied错误排查

在为自定义网关设备运行IDT测试时，StreamManager组件测试用例返回如下错误：

com.amazonaws.services.s3.model.AmazonS3Exception: Access Denied (Service: Amazon S3; Status Code: 403; Error Code: AccessDenied; Request ID: XXXXXXXXXXXXXXX S3 Extended Request ID: XXXXXXXXXXXXXXX=; Proxy: null). {scriptName=services.aws.greengrass.StreamManager.lifecycle.startup.script, serviceName=aws.greengrass.StreamManager, currentState=RUNNING} 

当前排查存在以下限制：

• IDT脚本执行时会动态创建角色与S3存储桶，无法直接通过AWS控制台固定资源开展调试
• 尝试查看CloudTrail日志时，S3上传类数据事件未被记录
• 当前操作账号不具备管理员权限，无法自行开启CloudTrail数据日志采集

• 优先从设备本地获取StreamManager全量运行日志，无需依赖云上日志能力。Greengrass部署的StreamManager组件日志默认存储路径为/greengrass/v2/logs/aws.greengrass.StreamManager.log，直接搜索报错对应的Request ID，可定位到具体上传的对象路径、发起请求使用的角色身份，先明确调用方和目标资源信息。
• 在设备侧调整StreamManager日志级别为调试模式，无需云账号管理员权限。直接修改Greengrass中StreamManager组件的配置，将loggingLevel参数设置为TRACE后重启组件复现问题，此时日志会打印请求使用的临时凭证前缀、角色会话名、请求携带的权限上下文，可直接排查是否存在凭证错用问题，例如是否误用了设备上其他服务的角色凭证，而非IDT动态生成的测试角色。
• 提取日志中的临时凭证手动复现请求，绕开IDT脚本逻辑。从调试日志中复制报错请求对应的临时访问密钥、会话Token，在设备本地通过AWS CLI执行与测试逻辑一致的S3上传操作，执行时添加--debug参数，CLI会输出完整的请求签名流程、S3返回的详细错误字段，可直接定位是角色权限缺失、桶策略拦截、KMS密钥权限不足还是其他配置问题，无需依赖CloudTrail事件记录。
• 核对IDT测试前置配置项，排除固定配置问题：
  • 确认运行IDT的账号身份具备iam:PassRole权限，可将动态创建的测试角色传递给Greengrass服务，缺失该权限会导致StreamManager拿到的角色无实际可用权限
  • 确认设备网络链路无S3访问拦截，例如代理层权限校验、VPC终端节点策略限制等，可先在设备侧测试S3基础上传连通性
  • 确认IDT版本与Greengrass Nucleus版本匹配，旧版本IDT存在生成的StreamManager测试角色策略缺失s3:PutObject资源权限的已知问题

内容的提问来源于stack exchange，提问作者Kiran G