حل خطأ AccessDenied في AWS عبر الهوية وطبقات السياسات

افهم الأسباب المحتملة

• تشمل الأسباب الشائعة استخدام دور غير مقصود، أو السماح بعملية تخص الحاوية دون عملية الملف، أو عدم تحقق شرط في السياسة، أو وجود قيد في سياسة أخرى تنطبق على الطلب. نجاح تسجيل الدخول يثبت المصادقة، لكنه لا يثبت امتلاك صلاحية تنفيذ هذا الطلب.

سجّل الطلب المرفوض بدقة

سجّل رمز الخطأ ووقت UTC ومعرّف الطلب والحساب والمنطقة وإجراء الخدمة واسم المورد ARN كاملًا. احفظ هذه الحقول في سجل تحقيق محدود الوصول دون نسخ مفاتيح الوصول أو رموز الجلسة أو بيانات العملاء. تصف الأدلة الاصطناعية أدناه قراءة ملف واحد، ولا تعني تعطل S3 عمومًا. إذا توفرت سجلات تدقيق معتمدة، اربط الطلب نفسه بها، ولا تفترض أن جميع الخدمات تسجّل كل رفض بالطريقة نفسها.

caller: arn:aws:sts::111122223333:assumed-role/course-reader/report-job
action: s3:GetObject
resource: arn:aws:s3:::dc-training-example/reports/october.csv
result: AccessDenied

تأكّد من الهوية التي نفّذت الاستدعاء

قارن مصدر بيانات اعتماد التطبيق بالدور والحساب المقصودين. قد يمثّل الملف المحلي ودور حمل العمل والجلسة المفوّضة وجلسة وحدة التحكم هويات مختلفة. لبيانات الاعتماد المؤقتة وقت انتهاء، وقد تقيّدها سياسة جلسة؛ تجديدها يعالج انتهاء الصلاحية، ولا يمنح إذنًا مفقودًا. سجّل علاقة الجلسة بالدور قبل تعديل السياسات. إذا أعاد مسؤول الاختبار، فاحتفظ بهوية التطبيق الأصلية موضوعًا للاختبار؛ نجاح المسؤول يثبت فقط أن هوية أوسع صلاحية تستطيع تنفيذ العملية.

حدّد قيد التفويض المنطبق

اقرأ سياق السياسة الذي تتضمنه رسالة الرفض، ثم افحص الطبقات المنطبقة بدل الاكتفاء بأول رسالة مفيدة. قد تتفاعل سياسات الهوية والمورد مع سياسات الجلسات وحدود الصلاحيات وضوابط المؤسسة وسياسات نقاط النهاية. ليست هذه الطبقات منحًا متكافئة للصلاحية. يبقى المنع الصريح مؤثرًا، ويتوقف سلوك سياسة المورد أيضًا على نوع الهوية وعلاقة الحسابات. افحص تفويض المفتاح المناسب للملفات المشفّرة. اعتمد توثيق تقييم الخدمة بدل اختزال جميع الحالات في معادلة تقاطع واحدة.

طابق العملية والمورد والشروط

في هذه الحالة، عرض محتويات الحاوية وجلب الملف صلاحيتان مختلفتان ولهما شكلان مختلفان للمورد. تحقّق من بادئة الملف وحالة الأحرف ومسار الوصول والشروط المطلوبة. قد يعتمد الشرط على النقل أو الوسوم أو عضوية المؤسسة أو سياق آخر يدعمه الطلب. تساعد محاكاة السياسة على عزل فرضية، لكنها لا تمثّل تلقائيًا جميع قرارات الخدمة. يعبّر مقطع سياسة الهوية أدناه عن السماح المقصود بقراءة الملفات فقط؛ ولا يتجاوز منعًا آخر منطبقًا، ولا يمنح صلاحية مستقلة لعرض محتويات الحاوية.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::dc-training-example/reports/*"
      ]
    }
  ]
}

طبّق أصغر تصحيح له مبرّر

اسأل مالك السياسة أولًا إن كان ينبغي السماح بالطلب أصلًا. إذا استخدم التطبيق حسابًا أو مسار ملف خاطئًا، فصحّح المدخل بدل توسيع الصلاحية. إذا غاب إذن معتمد، فاقترح أقل تعديل في الإجراء والمورد والشروط مع خطة تراجع وسجل مراجعة. أعد الاختبار بهوية حمل العمل الأصلية، ثم اختبر موردًا مجاورًا يجب أن يبقى ممنوعًا. يوضح سجل الإغلاق المفيد سبب نجاح العملية المقصودة، والحدّ الأمني الذي بقي سليمًا.

امنع تكرار المشكلة

• احفظ تعديلات أقلّ الصلاحيات في نظام إصدارات قابل للمراجعة. اختبر عمليات السماح المطلوبة وعمليات المنع المهمة، ووثّق هويات أحمال العمل ومصادر بيانات الاعتماد ليبدأ التحقيق التالي بالهوية الفعلية.