AWS WAFv2执行标签操作时提示Invalid ARN错误是什么原因？

WAFv2标签操作ARN无效报错的原因 #

正确的WAFv2 Web ACL ARN格式 #

WAFv2的Web ACL分全局/区域两类，ARN格式必须和类型严格对应：

• 全局Web ACL（适配CloudFront、Global Accelerator等全局资源）：arn:aws:wafv2:us-east-1:<账户ID>:global/webacl/<ACL名称>/<ACL ID>
• 区域Web ACL（适配ALB、API Gateway、AppSync等区域资源）：arn:aws:wafv2:<实际部署区域>:<账户ID>:regional/webacl/<ACL名称>/<ACL ID>

常见报错原因 #

• scope字段不匹配：这是最高发的错误。如果你的Web ACL是区域级，却在ARN中写了global段，或者全局Web ACL写了regional段，会直接触发ARN校验失败。
• 占位符未完全替换：检查实际执行的命令中，<account_id>、<acl_name>、<acl_id>等占位符是否已经替换为真实值，有没有残留尖括号、多余空格、特殊字符。
• 调用区域不匹配：全局Web ACL的所有CLI操作必须指定--region us-east-1，即使ARN格式正确，调用时指定其他区域也会触发参数校验错误；区域Web ACL调用时指定的区域必须和ARN中的区域一致。
• ARN路径异常：检查ARN末尾是否漏填ACL ID，或者多了多余的斜杠、冗余路径段。

快速解决方法 #

直接通过官方列表接口获取对应Web ACL的正确ARN，复制使用即可避免格式问题：

# 获取全局Web ACL列表
aws wafv2 list-web-acls --scope CLOUDFRONT --region us-east-1

# 获取区域Web ACL列表，替换<实际区域>为你的资源部署区域
aws wafv2 list-web-acls --scope REGIONAL --region <实际区域>

返回结果中的ARN字段即为官方生成的合法资源标识，直接传入标签操作接口即可正常运行。

内容的提问来源于stack exchange，提问作者Ninz