Solução de problemas de identidade e acesso do AWS CloudTrail

Use as informações a seguir para ajudar a diagnosticar e corrigir problemas comuns que você possa encontrar ao trabalhar com o CloudTrail e o IAM.

Não tenho autorização para executar uma ação no CloudTrail

Se você receber uma mensagem de erro informando que não tem autorização para executar uma ação, suas políticas deverão ser atualizadas para permitir que você realize a ação.

O erro do exemplo a seguir ocorre quando o usuário do IAM mateojackson tenta usar o console para visualizar detalhes sobre um atributo my-example-widget fictício, mas não tem as permissões cloudtrail:GetWidget fictícias.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudtrail:GetWidget on resource: my-example-widget

Nesse caso, a política do usuário mateojackson deve ser atualizada para permitir o acesso ao recurso my-example-widget usando a ação cloudtrail:GetWidget.

Se você precisar de ajuda, entre em contato com seu administrador AWS. Seu administrador é a pessoa que forneceu suas credenciais de login.

Se o Console de gerenciamento da AWS informar que você não está autorizado a executar uma ação, você deverá entrar em contato com o administrador para obter assistência. Seu administrador é a pessoa que forneceu a você suas credenciais de início de sessão.

O exemplo de erro a seguir ocorre quando o usuário do IAM mateojackson tenta usar o console para visualizar detalhes de uma trilha, mas não tem a política gerenciada do CloudTrail apropriada (AWSCloudTrail_FullAccess ou AWSCloudTrail_ReadOnlyAccess) ou as permissões equivalentes aplicadas à sua conta.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudtrail:GetTrailStatus on resource: My-Trail

Nesse caso, Mateo pede ao administrador para atualizar suas políticas para permitir que ele acesse as informações das trilhas e o status no console.

Se você tiver acessado a conta por meio de um usuário ou perfil do IAM que tem a política gerenciada AWSCloudTrail_FullAccess ou permissões equivalentes e não puder configurar a integração do AWS Config ou do Amazon CloudWatch Logs com uma trilha, talvez você não tenha as permissões necessárias para integração com esses serviços. Para obter mais informações, consulte Conceder permissão para visualizar informações do AWS Config no console do CloudTrail e Conceder permissão para visualizar e configurar informações do Amazon CloudWatch Logs no console do CloudTrail.

Não tenho autorização para executar iam:PassRole

Se você receber uma mensagem de erro informando que não tem autorização para realizar a ação iam:PassRole, as suas políticas deverão ser atualizadas para permitir que você passe um perfil para o CloudTrail.

Alguns Serviços da AWS permitem que você passe um perfil existente para o serviço, em vez de criar um perfil de serviço ou perfil vinculado ao serviço. Para fazer isso, é preciso ter permissões para passar o perfil para o serviço.

O erro de exemplo a seguir ocorre quando um usuário do IAM chamado marymajor tenta usar o console para realizar uma ação no CloudTrail. No entanto, a ação exige que o serviço tenha permissões concedidas por um perfil de serviço. Mary não tem permissões para passar o perfil para o serviço.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

Nesse caso, as políticas de Mary devem ser atualizadas para permitir que ela realize a ação iam:PassRole.

Se você precisar de ajuda, entre em contato com seu administrador AWS. Seu administrador é a pessoa que forneceu suas credenciais de login.

Quero permitir que as pessoas fora da minha Conta da AWS acessem meus recursos do CloudTrail

É possível criar um perfil e compartilhar informações do CloudTrail entre várias Contas da AWS. Para obter mais informações, consulte Compartilhar arquivos de log do CloudTrail entre contas da AWS.

Você pode criar um perfil que os usuários de outras contas ou pessoas fora da organização podem usar para acessar seus recursos. É possível especificar quem é confiável para assumir o perfil. Para serviços que oferecem compatibilidade com políticas baseadas em recursos ou listas de controle de acesso (ACLs), você pode usar essas políticas para conceder às pessoas acesso aos seus recursos.

Para saber mais, consulte:

Não tenho autorização para executar iam:PassRole

Se você receber uma mensagem de erro informando que não tem autorização para realizar a ação iam:PassRole, as suas políticas deverão ser atualizadas para permitir que você passe um perfil para o CloudTrail.

Alguns Serviços da AWS permitem que você passe um perfil existente para o serviço, em vez de criar um perfil de serviço ou perfil vinculado ao serviço. Para fazer isso, é preciso ter permissões para passar o perfil para o serviço.

O erro de exemplo a seguir ocorre quando um usuário do IAM chamado marymajor tenta usar o console para realizar uma ação no CloudTrail. No entanto, a ação exige que o serviço tenha permissões concedidas por um perfil de serviço. Mary não tem permissões para passar o perfil para o serviço.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

Nesse caso, as políticas de Mary devem ser atualizadas para permitir que ela realize a ação iam:PassRole.

Se você precisar de ajuda, entre em contato com seu administrador AWS. Seu administrador é a pessoa que forneceu suas credenciais de login.

Estou recebendo uma exceção NoManagementAccountSLRExistsException quando tento criar uma trilha ou um armazenamento de dados de eventos da organização

A exceção NoManagementAccountSLRExistsException é lançada quando a conta de gerenciamento não tem um perfil vinculado ao serviço.

Quando você adiciona um administrador delegado usando a CLI ou a operação de API do AWS Organizations, os perfis vinculados ao serviço do CloudTrail, se não existirem, não serão criados automaticamente. Os perfis vinculados ao serviço são criados apenas quando você faz uma chamada da conta gerencial diretamente para o serviço CloudTrail. Por exemplo, quando você adiciona um administrador delegado ou cria uma trilha ou um datastore de eventos da organização usando o console do CloudTrail, a AWS CLI ou a API do CloudTrail, o perfil vinculado ao serviço AWSServiceRoleForCloudTrail é criado.

Quando você adiciona um administrador delegado usando o AWS CloudTrail, a CLI ou a operação de API, o CloudTrail cria o perfil AWSServiceRoleForCloudTrail e o perfil vinculado ao serviço AWSServiceRoleForCloudTrailEventContext.

Quando você usa a conta gerencial de sua organização para adicionar um administrador delegado ou para criar uma trilha ou um datastore de eventos da organização no console do CloudTrail, ou com a AWS CLI ou a API do CloudTrail, o CloudTrail cria automaticamente um perfil vinculado ao serviço AWSServiceRoleForCloudTrail para sua conta gerencial, caso ele ainda não exista. Para obter mais informações, consulte Usar perfis vinculados ao serviço para o CloudWatch.

Se você não adicionou um administrador delegado, use o console do CloudTrail, a AWS CLI ou a API do CloudTrail para adicionar o administrador delegado. Para obter mais informações sobre como adicionar um administrador delegado, consulte Adicionar um administrador delegado ao CloudTrail e RegisterOrganizationDelegatedAdmin (API).

Se você já adicionou o administrador delegado, use a conta de gerenciamento para criar a trilha ou o armazenamento de dados de eventos da organização no console do CloudTrail ou usando a AWS CLI ou API ou CloudTrail. Para obter mais informações sobre como criar uma trilha organizacional, consulte Criar uma trilha para sua organização no console, Criar uma trilha para uma organização com a AWS CLI e CreateTrail (API).