.Net调用Amazon QuickSight创建数据集接口返回Access Denied错误

• 首先核对CreateDataSetRequest的构造参数是否和CLI所用的create-data-set.json完全一致，这是概率最高的诱因，重点核对以下字段：
  • 账号ID（AwsAccountId）：如果代码中填错了账号ID，即使凭证正确也会触发跨账号访问拒绝
  • 关联资源ARN：包括数据源ARN、数据集存储位置ARN等，如果配置和CLI调用时不一致，会触发对应资源的访问校验失败
  • 命名空间（Namespace）：QuickSight默认命名空间为default，如果代码中错误填写了其他不存在/无权限的命名空间，会返回403
  • 数据集ID/名称：如果你的IAM策略配置了资源级权限限制（比如仅允许创建指定前缀的数据集），代码中填写的数据集ID不符合规则也会触发拦截
  • 标签（Tags）：如果IAM策略配置了基于标签的访问控制，代码中添加了CLI配置外的标签也会触发权限拦截
  • 权限配置（Permissions）：如果代码中配置的数据集权限规则和CLI不一致，比如填写了不存在的授权主体ARN，也会触发校验异常
• 验证参数一致性的方法：将C#代码中构造完成的CreateDataSetRequest对象序列化为JSON字符串，和CLI调用时使用的create-data-set.json逐字段对比，即可快速定位差异项
• 排除凭证问题：你已经确认凭证和CLI一致且列表类接口可正常调用，说明凭证本身的基础权限没有问题，无需额外调整IAM策略的基础权限项

内容的提问来源于stack exchange，提问作者Shankar Naru