GitHub Actions部署AWS Fargate时ECS注册任务定义权限报错如何解决

问题原因 #

你遇到的报错核心是explicit deny（显式拒绝），AWS IAM的权限评估逻辑里，显式拒绝的优先级高于所有允许策略，哪怕你给用户加了对应Allow的权限，只要存在任意一条显式拒绝iam:PassRole操作的规则，就会优先触发拒绝。
常见的显式拒绝来源有几个：

• 该IAM用户所属的用户组附加了带有Deny效果的策略，限制了iam:PassRole操作
• 账号层面的SCP（服务控制策略，如果你用了AWS Organizations的话）配置了针对该用户/该角色的iam:PassRole操作拒绝
• ecsTaskExecutionRole本身的信任策略里有拒绝规则，或者信任策略没有允许ECS服务代入该角色
• 账号给该IAM用户配置了权限边界（Permissions Boundary），边界里不包含iam:PassRole的允许，或者直接有拒绝规则

排查&解决步骤 #

1. 优先排查显式拒绝来源

• 先检查该IAM用户所有关联的策略：包括用户直接附加的、所属用户组附加的、角色权限边界，搜索是否有包含Effect: Deny且Action包含iam:PassRole、Resource匹配到ecsTaskExecutionRole的规则，找到后删除或调整对应的拒绝规则。
• 如果你的账号归属于AWS Organizations组织，找组织管理员检查账号对应的SCP策略，是否有禁止普通用户执行iam:PassRole的配置。

2. 检查ecsTaskExecutionRole的信任策略
   确认该角色的信任策略允许ecs-tasks.amazonaws.com服务代入，正确的信任策略示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

你之前给IAM用户加的sts:AssumeRole权限是多余的，这个权限是给ECS服务用的，不是给部署用的IAM用户用的，可以直接删掉。
3. 给iam:PassRole权限添加必要的条件限制（可选但推荐）
调整你现有的iam:PassRole权限，加上条件限制只能给ECS任务相关服务传递角色，避免权限过度开放，示例：

{
  "Sid": "VisualEditor1",
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::***:role/ecsTaskExecutionRole",
  "Condition": {
    "StringEquals": {
      "iam:PassedToService": "ecs-tasks.amazonaws.com"
    }
  }
}

4. 验证权限
   调整完成后可以用AWS IAM的模拟权限工具，模拟该用户执行iam:PassRole操作，资源选你的ecsTaskExecutionRole，就能直接看到权限是否放行、还有没有拦截的规则。

内容的提问来源于stack exchange，提问作者John