调用AWS UploadServerCertificate接口报AccessDenied错误问题咨询

问题根因 #

你收到权限报错的核心原因是：你通过SSH登录EC2执行AWS CLI命令时，默认调用的是EC2实例绑定的实例角色（也就是报错里的aws-elasticbeanstalk-ec2-role），这个角色默认没有iam:UploadServerCertificate的操作权限。你用sudo执行命令没用，是因为sudo仅控制Linux本地的用户权限，和AWS云侧的IAM权限体系无关。

方案1：给当前实例绑定的角色追加权限（最推荐，无需配置密钥） #

• 登录AWS IAM控制台，进入「角色」页面，搜索找到aws-elasticbeanstalk-ec2-role
• 为该角色附加权限策略：可以直接附加托管策略IAMFullAccess（仅测试环境临时使用，生产环境建议自定义最小权限策略，仅允许iam:UploadServerCertificate操作）
• 等待1-2分钟权限生效后，回到SSH会话直接执行原来的证书上传命令即可，无需额外配置，实例会自动获取角色的临时访问凭证。

方案2：使用独立IAM用户凭证执行命令 #

如果你要使用单独创建的带IAM权限的IAM用户，操作步骤如下：

• 在IAM控制台创建用户，为其配置IAMFullAccess或自定义的证书上传权限，同时为该用户生成Access Key ID和Secret Access Key并保存
• 回到EC2的SSH会话，执行aws configure命令，按照提示输入刚才生成的AK、SK，以及你当前使用的AWS区域、默认输出格式（可选，填json即可）
• 配置完成后，AWS CLI会默认使用该IAM用户的凭证执行操作，此时再执行证书上传命令即可。如果仅需临时使用一次该用户权限，也可以直接在当前会话执行以下命令配置临时环境变量，无需持久化存储凭证：

export AWS_ACCESS_KEY_ID=替换为你的IAM用户AK
export AWS_SECRET_ACCESS_KEY=替换为你的IAM用户SK

注意事项 #

• 测试完成后请及时回收多余的IAM权限，避免出现安全风险
• 自签名SSL证书仅可用于测试环境，生产环境请使用CA机构颁发的可信证书

内容的提问来源于stack exchange，提问作者Floky99