AWS API权限调试及Terraform Plan 403错误深度排查咨询

我平时调试这类权限问题，都是按下面几个步骤来的，亲测好用：

• 先抠细节看错误响应：AWS的API错误信息其实藏着很多线索，比如AccessDenied错误里往往会附带具体的操作名称，比如iam:ListRoles，直接点出你缺哪个权限。如果是更模糊的错误，也可以留意errorCode字段，比如UnauthorizedOperation指向权限不足，MissingAuthenticationToken则是凭证问题。
• 用Access Analyzer的权限检查器：打开AWS控制台的Access Analyzer，找到权限检查工具，输入你要执行的API操作（比如ec2:StartInstances）和对应的资源ARN，它会直接分析出需要哪些IAM权限，甚至帮你生成可复用的策略片段。
• 开CloudTrail查完整请求记录：如果错误信息不够明确，开启CloudTrail后，能找到对应的API调用日志，里面的errorMessage会给出最准确的权限缺失原因，还能看到是哪个IAM实体（用户/角色）发起的请求。
• 用IAM Policy Simulator做模拟测试：把你的IAM策略导入模拟器，模拟执行目标API操作，它会直观地告诉你哪些权限被允许、哪些被拒绝，还能给出调整策略的建议。
• 临时加宽泛权限做验证（仅限非生产）：在测试环境里，给对应的IAM实体临时加上AdministratorAccess权限，再执行请求，如果成功了，就确认是权限问题，再逐步缩小范围找到具体需要的权限。

TF_LOG=DEBUG确实能帮你看到Terraform和AWS交互的底层细节，但如果想用AWS CLI直接深挖这个请求的问题，有这几个实用方法：

• 用CloudTrail CLI查询具体请求：直接用aws cloudtrail lookup-events命令，通过Request ID定位请求记录，命令如下：

  aws cloudtrail lookup-events --lookup-attributes AttributeKey=RequestId,AttributeValue=ABCDEF12345678
  

  返回结果里会包含errorCode和errorMessage，能精准告诉你是哪个操作被拒绝了——比如大概率是s3:GetObject，因为这个错误常出现在Terraform访问S3状态桶的时候。
• 检查S3状态桶的权限配置：如果你的Terraform状态存在S3，先确认执行Terraform的IAM实体有没有s3:GetObject、s3:ListBucket这些基础权限。可以用下面的命令查看桶策略：

  aws s3api get-bucket-policy --bucket your-terraform-state-bucket
  

  或者查看桶的ACL：

  aws s3api get-object-acl --bucket your-terraform-state-bucket --key terraform.tfstate
  

• 查看IAM Access Advisor的拒绝记录：在AWS控制台找到对应的IAM角色/用户，打开Access Advisor，能看到最近被拒绝的权限请求，里面会列出具体的操作和拒绝原因，帮你快速定位问题。

另外提一句，这个403错误最常见的原因就是状态桶或DynamoDB锁表的权限不足，所以优先检查这两个资源的权限配置准没错。

内容的提问来源于stack exchange，提问作者four43