对 Amazon CloudTrail 身份和访问进行故障排除
使用以下信息可帮助您诊断和修复在使用 CloudTrail 和 IAM 时可能遇到的常见问题。
我无权在 CloudTrail 中执行操作
如果 Amazon Web Services Management Console 告诉您，您无权执行某个操作，则必须联系您的管理员寻求帮助。您的管理员是指为您提供用户名和密码的那个人。
在以下情况下，会发生下面的示例错误：当 mateojackson IAM 用户尝试使用控制台查看有关跟踪记录的详细信息，但并没有将适当的 CloudTrail 托管式策略（AWSCloudTrail_FullAccess 或 AWSCloudTrailReadOnlyAccess）或等效权限应用到其账户。
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudtrail:GetTrailStatus on resource:My-Trail
在这种情况下，Mateo 请求他的管理员更新其策略，以允许他在控制台中访问跟踪信息和状态。
如果您使用的 IAM 用户或者拥有 AWSCloudTrail_FullAccess 托管策略或其等效权限的角色登录，并且您无法配置 Amazon Config 或 Amazon CloudWatch Logs 与跟踪的集成，则您可能缺少与这些服务集成必需的权限。有关更多信息，请参阅 授予在 CloudTrail 控制台中查看 Amazon Config 信息的权限 和 授予在 CloudTrail 控制台上查看和配置 Amazon CloudWatch Logs 信息的权限。
我是管理员并希望允许其他人访问 CloudTrail
要允许其他人访问 CloudTrail，您必须为需要访问权限的人员或应用程序创建 IAM 实体（用户、组或角色）。它们将使用该实体的凭证访问 Amazon。然后，您必须将策略附加到实体，以便在 CloudTrail 中向其授予正确的权限。有关如何执行此操作的示例，请参阅向 CloudTrail 用户授予自定义权限和授予 CloudTrail 管理权限。
我想要允许我的 Amazon 账户之外的用户访问我的 CloudTrail 资源
您可以创建一个角色和并在多个 Amazon 账户之间共享 CloudTrail 信息。有关更多信息，请参阅 在 Amazon 账户之间共享 CloudTrail 日志文件。
您可以创建一个角色，以便其它账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以代入角色。对于支持基于资源的策略或访问控制列表 (ACL) 的服务，您可以使用这些策略向人员授予对您的资源的访问权。
要了解更多信息，请参阅以下内容：
-
要了解 CloudTrail 是否支持这些功能，请参阅 Amazon CloudTrail 如何与 IAM 协同工作。
-
要了解如何为您拥有的 Amazon Web Services 账户 中的资源提供访问权限，请参阅 IAM 用户指南中的为您拥有的另一个 Amazon Web Services 账户 中的 IAM 用户提供访问权限。
-
要了解如何为第三方Amazon Web Services 账户提供您的资源的访问权限，请参阅 IAM 用户指南中的为第三方拥有的Amazon Web Services 账户提供访问权限。
-
要了解如何通过联合身份验证提供访问权限，请参阅 IAM 用户指南 中的为经过外部身份验证的用户（联合身份验证）提供访问权限。
-
要了解使用角色和基于资源的策略进行跨账户访问之间的差别，请参阅 IAM 用户指南 中的 IAM 角色与基于资源的策略有何不同。