1. 问题概述
在使用AWS boto3库进行IAM角色管理时，许多开发者会遇到AccessDenied错误。特别是调用list_role_policies方法时，该错误可能表现为：
botocore.exceptions.ClientError: An error occurred (AccessDenied) when calling the ListRolePolicies operation: User is not authorized to perform: iam:ListRolePolicies
2. 错误原因分析
AccessDenied错误的核心原因是权限不足。具体可能包含以下几种情况：
- IAM策略配置不当：执行操作的IAM用户/角色缺少必要的权限
- 资源级权限限制：虽然拥有IAM权限，但被限制访问特定资源
- 服务控制策略(SCP)限制：在AWS Organizations中可能存在更高层级的限制
- 临时凭证过期：使用的STS临时凭证已失效
3. 解决方案
3.1 检查并修正IAM策略
确保执行操作的IAM实体拥有以下最小权限：
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:ListRolePolicies",
"Resource": "*"
}
]
}
如果是资源级权限控制，需要明确指定角色ARN：
"Resource": "arn:aws:iam::123456789012:role/YourRoleName"
3.2 验证凭证有效性
使用AWS CLI验证当前凭证：
aws sts get-caller-identity
检查返回信息中的ARN是否匹配预期的IAM实体。
3.3 检查服务控制策略
如果是组织成员账户，需要检查SCP是否允许IAM操作：
aws organizations list-policies --filter SERVICE_CONTROL_POLICY
3.4 使用条件限制
对于精细化权限控制，可以添加条件块：
"Condition": {
"StringEquals": {
"iam:ResourceTag/Owner": "${aws:username}"
}
}
4. 最佳实践
- 遵循最小权限原则分配IAM权限
- 使用AWS Policy Simulator测试策略效果
- 为生产环境配置CloudTrail日志记录IAM操作
- 考虑使用权限边界限制IAM实体的最大权限
5. 调试技巧
当问题复杂时，可以采用以下调试方法：
- 启用boto3的调试日志：
boto3.set_stream_logger('botocore') - 检查AWS服务健康状态：
aws cloudwatch describe-alarms - 使用AWS Access Advisor分析服务使用情况
6. 替代方案
如果无法获取ListRolePolicies权限，可以考虑：
- 使用
GetRolePolicy获取特定策略内容 - 通过
ListAttachedRolePolicies获取托管策略 - 配置只读权限的IAM角色专门用于审计