我是用户无权执行：firehose:CreateDeliveryStream 在资源 xxxx 上明确拒绝

Question

我正在尝试从 EC2 微型实例创建 Firehose 传输流。

AWS CLI 配置了 IAM 用户 ABC 的访问密钥。该用户附加了 AWS 策略，可以完全访问 firehose（下面复制了策略）。

流创建仍然失败并出现错误 AccessDeniedException: iam user ABC not authorized to perform: firehose:CreateDeliveryStream on resource xxxx with an explicit deny

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "firehose:*",
                "firehose:CreateDeliveryStream"
            ],
            "Resource": [
                "arn:aws:firehose:us-east-1:<ACC_ID>:deliverystream/*",
                "arn:aws:firehose:us-east-1:<ACC_ID>:*",
                "arn:aws:firehose:*:<ACC_ID>:*",
                "arn:aws:firehose:*:<ACC_ID>:deliverystream/*"
            ]
        }
    ]
}

我是否需要向该 IAM 用户添加更多权限以允许其创建传输流？

Answer 1

我交叉检查了附加到该用户的所有其他策略，显然有一个附加到该用户的拒绝策略明确拒绝访问。删除了这个政策，它奏效了！