CloudTrail事件截断1028字符时如何获取完整IAM编码授权失败消息

排查IAM权限拒绝问题时，常会遇到如下形式的CloudTrail事件报错：

{
    "errorCode": "Client.UnauthorizedOperation",
    "errorMessage": "You are not authorized to perform this operation. Encoded authorization failure message: SuperLongMessageThatEndsWith..."
}

CloudTrail控制台前端对事件的errorMessage字段做了展示层面的长度截断，截断阈值为1028字符，该截断不会影响后端存储的事件原始内容。

操作流程 #

• 跳过控制台页面直接展示的截断文本，找到目标CloudTrail事件的「导出原始JSON/下载完整事件」入口
• 在下载得到的原始事件JSON文件中，定位errorMessage字段，提取Encoded authorization failure message:提示后方的全部字符串，即为未被裁剪的完整编码授权消息
• 拿到完整编码串后，可通过aws sts decode-authorization-message命令执行解码，即可获取完整的权限拒绝详情，包括被拒绝的具体操作、目标资源、关联的权限判定规则等排查关键信息

注意：若直接复制控制台页面上截断后的短编码串进行解码，会因为字符串格式不完整、长度不足触发解码失败报错

内容的提问来源于stack exchange，提问作者maafk