AWS Amazon Connect ListUserHierarchyGroups IAM 权限问题

问题

在请求Agent所属用户组时，SDK抛出了权限异常。

排查

查看权限配置

{
    "Effect": "Allow",
    "Action": [
        "connect:ListUserHierarchyGroups"
    ],
    "Resource": "arn:aws:connect:us-east-1:<ACCOUNT_ID>:instance/<INSTANCE_ID>/*"
}

错误原因

/*表示instance下一层级的所有资源，但不包含instance。

ListUserHierarchyGroups所需权限是instance级别，所以不能加/*。

正确配置

完整配置如下，Resource只配置到instance即可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "connect:ListUserHierarchyGroups"
            ],
            "Resource": "arn:aws:connect:us-east-1:<ACCOUNT_ID>:instance/<INSTANCE_ID>"
        }
    ]
}