如何解决boto3的list_attached_role_policies返回空列表的问题？

问题现象描述

当开发者使用Python的boto3库调用list_attached_role_policies方法查询IAM角色附加策略时，经常遇到返回空列表的情况，即使确认角色确实附加了策略。典型报错场景表现为：

import boto3
client = boto3.client('iam')
response = client.list_attached_role_policies(RoleName='MyRole')
print(response['AttachedPolicies'])  # 输出 []

5大常见原因分析

1. 权限不足（Access Denied）

执行操作的IAM用户/角色缺乏必要的iam:ListAttachedRolePolicies权限。建议检查：

调用API的凭证所属IAM策略是否包含"Action": "iam:ListAttachedRolePolicies"
资源级权限是否限制特定角色（Resource ARN限制）

2. 角色名称拼写错误

常见的拼写问题包括：

大小写不匹配（IAM角色名称区分大小写）
特殊字符未转义
使用了角色ARN而非角色名称

3. 跨账户访问问题

当通过AssumeRole跨账户访问时，需要确保：

目标账户的角色信任策略允许当前账户
会话凭证已正确获取
目标角色存在且未被删除

4. 区域配置错误

IAM虽然是全局服务，但客户端初始化时需要指定区域：

client = boto3.client('iam', region_name='us-east-1')

5. 策略类型不匹配

list_attached_role_policies仅返回托管策略，不包含：

内联策略（需使用list_role_policies）
服务控制策略（SCP）
权限边界策略

6种解决方案

方案1：权限验证

使用get_caller_identity验证凭证有效性：

sts = boto3.client('sts')
print(sts.get_caller_identity())

方案2：完整调试日志

启用boto3调试日志捕获底层请求：

import logging
logging.basicConfig(level=logging.DEBUG)

方案3：多方法交叉验证

结合其他API方法确认策略存在性：

# 检查内联策略
client.list_role_policies(RoleName='MyRole')
# 检查所有策略
client.get_role(RoleName='MyRole')

方案4：使用分页器

处理可能的分页结果：

paginator = client.get_paginator('list_attached_role_policies')
for page in paginator.paginate(RoleName='MyRole'):
    print(page['AttachedPolicies'])

方案5：策略模拟测试

使用simulate_principal_policy验证实际权限：

client.simulate_principal_policy(
    PolicySourceArn='arn:aws:iam::123456789012:role/MyRole',
    ActionNames=['s3:ListBucket']
)

方案6：检查服务控制台

通过AWS Management Console直接验证：

导航至IAM > Roles
搜索目标角色
检查"Permissions"标签页

最佳实践建议

始终在代码中添加错误处理逻辑：

try:
    response = client.list_attached_role_policies(RoleName='MyRole')
except client.exceptions.NoSuchEntityException:
    print("Role does not exist")

使用AWS Config记录IAM资源变更历史
为生产环境配置CloudTrail日志审计
定期执行IAM Access Analyzer检查