Come posso risolvere gli errori relativi alle autorizzazioni sulle risorse AWS in Amazon QuickSight?

Breve descrizione

Quando modifichi le autorizzazioni di Amazon QuickSight, potresti ricevere uno dei seguenti errori:

"The role used by QuickSight for AWS resource access was modified to an un-recoverable state outside of QuickSight, so you can no longer edit AWS resource permissions in QuickSight."

"We were unable to update QuickSight permissions for AWS resources. Either you are not authorized to edit QuickSight permissions on AWS resources, or the QuickSight permissions were changed using the IAM console and are therefore no longer updateable through QuickSight."

"We cannot update the IAM Role"

"QuickSight has detected unknown policies attached to following roles please detach them and retry"

"Something went wrong For more information see Set IAM policy"

Questi errori si verificano quando modifichi le autorizzazioni QuickSight per le tue risorse AWS dalla console AWS Identity and Access Management (IAM).

Nota: È consigliabile utilizzare la console Amazon QuickSight e non la console IAM per modificare le autorizzazioni QuickSight sulle risorse AWS.

Risoluzione

Rimuovi i ruoli di servizio aws-quicksight-service-role-v0 e aws-quicksight-s3-consumers-role-v0 che QuickSight assume quando interagisce con altri servizi AWS. Quindi, rimuovi le policy gestite che QuickSight associa ai ruoli di servizio aws-quicksight-service-role-v0 e aws-quicksight-s3-consumers-role-v0. Infine, ripristina l'accesso QuickSight ai tuoi servizi AWS.

Importante: Prima di iniziare, assicurati di disporre di un backup delle policy IAM prima di eliminarle. Il backup può aiutarti a fare riferimento a qualsiasi risorsa dell'account Amazon Simple Storage Service (Amazon S3) a cui avevi accesso in precedenza.

Verifica le autorizzazioni IAM QuickSight e IAM, quindi rimuovi i ruoli di servizio e le policy

1.    Segui le istruzioni per visualizzare gli account utente QuickSight. Assicurati di avere un utente con un ruolo di AMMINISTRATORE.

2.    Apri la console IAM.

3.    (Facoltativo) Se non l'hai già fatto, segui le istruzioni per la creazione di un utente IAM amministratore.

4.    Assicurati che la tua policy IAM ti consenta di creare ed eliminare servizi e ruoli QuickSight simili ai seguenti:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:DetachRolePolicy",
        "iam:DeleteRole",
        "iam:AttachRolePolicy",
        "iam:CreateRole"
      ],
      "Resource":[
         "arn:aws:iam::<Account-id>:role/service-role/aws-quicksight-service-role-v0"
         "arn:aws:iam::<Account-id>:role/service-role/aws-quicksight-s3-consumers-role-v0"
      ]
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "iam:ListPolicies",
        "iam:GetPolicyVersion",
        "iam:GetRole",
        "iam:GetPolicy",
        "iam:ListPolicyVersions",
        "iam:ListAttachedRolePolicies",
        "iam:GenerateServiceLastAccessedDetails",
        "iam:ListEntitiesForPolicy",
        "iam:ListPoliciesGrantingServiceAccess",
        "iam:ListRoles",
        "iam:GetServiceLastAccessedDetails",
        "iam:ListAccountAliases",
        "iam:ListRolePolicies",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor2",
      "Effect": "Allow",
      "Action": [
        "iam:DeletePolicy",
        "iam:CreatePolicy",
        "iam:CreatePolicyVersion",
        "iam:DeletePolicyVersion"
      ],
      "Resource": [
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightIAMPolicy",
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightRDSPolicy",
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightS3Policy",
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightRedshiftPolicy"
        "arn:aws:iam::<Account-id>:policy/service-role/AWSQuickSightS3ConsumersPolicy"
      ]
    }
  ]
}

5.    Nel pannello di navigazione, scegli Ruoli.

6.    Nel pannello di ricerca dei ruoli, cerca ed elimina i seguenti ruoli IAM:

aws-quicksight-service-role-v0 aws-quicksight-s3-consumers-role-v0

Nota: Questi ruoli di servizio vengono creati automaticamente da QuickSight quando si impostano le autorizzazioni in QuickSight.

7.    Nel pannello di navigazione, scegli Policy.

8.    Nel pannello di ricerca delle policy, cerca ed elimina le seguenti policy IAM gestite dal cliente:

AWSQuickSightRedshiftPolicy AWSQuickSightRDSPolicy AWSQuickSightIAMPolicy AWSQuickSightS3Policy AWSQuickSightS3ConsumersPolicy

Nota: QuickSight utilizza le policy gestite da AWS quando è autorizzato ad accedere a una risorsa AWS. Ad esempio, utilizza la policy AWSQuicksightAthenaAccess per controllare l'accesso a determinate risorse AWS. Le policy gestite da AWS non possono essere rimosse.

Ripristina l'accesso QuickSight ai tuoi servizi AWS

1.    Apri la console Amazon QuickSight.

2.    Nella barra di navigazione, scegli l'elenco a discesa del nome utente, quindi scegli Gestisci QuickSight.

3.    Nel pannello di navigazione, scegli Sicurezza e autorizzazioni.

4.    Nell'accesso QuickSight ai servizi AWS, scegli Gestisci.

5.    In Consenti l’accesso e l’individuazione automatica di queste risorse, scegli i servizi AWS che desideri ripristinare.

6.    Scegli Salva.

Per ulteriori informazioni sull'attivazione dei servizi AWS a cui può accedere Amazon QuickSight, consulta Using other AWS services: scoping down access.

Informazioni correlate

IAM policy examples for Amazon QuickSight

AWS managed policies for Amazon QuickSight