如果 AWS API 请求失败，我该如何调试我需要的权限？

Question

我正在使用 Terraform 在 AWS 上配置一些资源。运行 Terraform 的“计划”步骤失败，并显示以下模糊错误（例如）：

Error: Error loading state: AccessDenied: Access Denied
        status code: 403, request id: ABCDEF12345678, host id: SOMELONGBASE64LOOKINGSTRING===

给定一个请求 id 和一个主机 id 是否可以更深入地了解出了什么问题？

设置 TF_LOG=DEBUG（或其他级别）似乎有帮助，但我很好奇是否有 CLI 命令可以从 CloudTrail 或其他东西获取更多信息。

谢谢！

Answer 1

Terraform 不会拥有任何有关访问拒绝的特权信息，但 AWS 拥有。因为您提到 S3 是问题所在，所以我的答案基于查找 S3 请求 id。您有几个选项可以在 AWS 中根据给定的请求 ID 查找请求。

1. 在 AWS CloudTrail 中创建跟踪。默认情况下，CloudTrail 将在存储桶级别记录 API 调用（包括请求 ID）。如果请求针对特定对象，您需要在创建跟踪时启用 S3 数据事件。
2. 打开S3服务器访问日志。

您可以在 S3 的日志文件中手动搜索请求 ID 或使用 Athena。对于 CloudTrail，您还可以配置 CloudWatch Logs 并在通过搜索栏创建的日志组中进行搜索。

CloudTrail 记录来自所有服务的 API 调用，而不仅仅是 S3。除了与 S3 相关的问题之外，它还可能是诊断问题的有用工具。请注意，日志在 CloudTrail 中显示最多可能有 15 分钟的延迟。