AWS AppSync使用错误IAM角色问题求助：iOS Federated Identity场景

看起来你这情况是AppSync没正确复用你通过Federated Identity分配的角色，反而跑去尝试一个你不期望的IAM角色，导致了无法假设角色的错误——毕竟DynamoDB和S3都能正常跑，说明你的User Pools+Federated Identity认证流程本身没问题，问题大概率出在AppSync的配置或者客户端初始化上。下面是几个核心的排查和修复步骤：

1. 先查AppSync API的身份验证配置 #

先确认你的AppSync API是不是正确关联了你的Cognito身份池：

• 打开AWS控制台的AppSync服务，找到你的目标API
• 切到设置标签页，看身份验证类型：
  • 如果你是用Cognito用户池做主认证，一定要同时启用IAM作为辅助认证（因为Federated Identity最终是靠IAM角色授权的）
  • 别不小心把某个固定IAM角色设成了默认执行角色——要是这么配了，AppSync会直接跳过你的Federated Identity分配的角色，硬用这个默认角色，就会出现你看到的问题

2. 验证Federated Identity角色的信任策略 #

你的认证/未认证角色得允许AppSync服务来扮演它，不然AppSync没法用用户的身份凭证去假设这个角色：

• 进IAM控制台，找到你的Federated Identity对应的认证角色（或未认证角色）
• 看这个角色的信任关系，必须包含这段配置：

{
  "Effect": "Allow",
  "Principal": {
    "Service": "appsync.amazonaws.com"
  },
  "Action": "sts:AssumeRole"
}

要是缺了这段，AppSync没权限用你指定的角色，就会 fallback 到其他配置的角色，也就是你看到的那个不期望的角色

3. 检查iOS端AppSync客户端的初始化代码 #

在iOS代码里，你得确保AppSync客户端用的是Federated Identity提供的凭证，别硬编码成其他IAM角色了：

• 确认初始化AWSAppSyncClient时，用的是从AWSCognitoIdentityProvider拿到的凭证，大概是这样的：

let credentialsProvider = AWSCognitoCredentialsProvider(regionType: .USEast1,
                                                        identityPoolId: "你的身份池ID")
let configuration = AWSServiceConfiguration(region: .USEast1, credentialsProvider: credentialsProvider)
AWSAppSyncClient.register(with: configuration, appSyncServiceConfig: AWSAppSyncServiceConfig(), userPoolsAuthProvider: userPoolAuthProvider)
let appSyncClient = try AWSAppSyncClient.default()

要是你在配置里错误指定了其他IAM角色的ARN，那AppSync调用时肯定会用错角色

4. 排查AppSync数据源的权限设置 #

如果你的Mutation关联的是DynamoDB数据源，要确保数据源的权限是用调用者的IAM角色（也就是Federated Identity分配的角色），别用数据源自己的服务角色：

• 在AppSync控制台的数据源标签页，找到你的DynamoDB数据源
• 确认权限设置是“使用调用者的IAM角色”，而不是选了某个固定的IAM角色。要是选了固定角色，AppSync会直接忽略用户的角色，硬用这个数据源角色，自然就和你期望的不一样了

5. 最后再确认用户池和身份池的关联 #

以防万一，再检查一遍Cognito用户池和Federated Identity身份池的绑定：

• 进Cognito身份池控制台，编辑你的身份池
• 在认证提供商里，确认你的用户池已经正确添加，客户端ID也没写错
• 再核对一遍认证角色和未认证角色是不是你期望的那两个，别被误改了

按上面的步骤逐一排查，应该就能搞定AppSync角色不符的问题了。

内容的提问来源于stack exchange，提问作者Rekd