为什么我无法访问具有所有IAM权限的AWS IAM列表？

Question

当我尝试访问AWS上的IAM仪表板时，出现以下错误。

User: arn:aws:iam::9490xxxxxxxx:user/xyz is not authorized to perform: iam:ListUsers on resource: arn:aws:iam::9490xsxxxxxxx:user/ 

事实是，我的帐户中附加了IAMFullPermission政策，如下所示：-{

我仍然不知道我需要提供哪些权限。

谢谢。

Answer 1

正如Rajesh所评论的那样，登录到控制台并打开策略模拟器将允许您选择用户以及iam：ListUsers权限并模拟评估以查找失败的确切原因。

  

https://policysim.aws.amazon.com/home/index.jsp?#users

该附加策略的屏幕快照将使该用户/角色可以从多个内置AWS策略中访问iam：ListUsers，并且该错误消息表明该用户没有权限（即缺少允许策略，而不是明确拒绝）

确定IAM错误的原因时，请尝试以下操作：

1. 响应是否显示为已缓存？ （进行更改以允许操作，然后立即再次尝试并非总是可行。您可以通过调用不允许的API在CLI上进行测试。第一次调用会比后续调用慢一些。IAM更改也可能需要进行传播的时间。
2. 策略模拟器怎么说？ （在考虑要求MFA或MFA年龄等条件的更复杂的政策时特别有用）

策略模拟器将缩小方案的范围，

1. 用户实际上没有附加该政策
2. 用户是具有明确拒绝策略的组的一部分（此处看起来不是这种情况）
3. 不满足的其他条件并不立即显现。例如。需要MFA或资源限制，才能仅允许访问权限来管理自己的用户详细信息。