VPC Peeringの権限不足

前提・実現したいこと

異なるAWSアカウント間でVPC Peeringの実装

発生している問題・エラーメッセージ

VPCのピアリング接続からピアリング接続の作成へ進み
各必要事項を入力しピアリング接続の作成をクリックすると
エラーが出るのですが、デコードすると権限不足？のエラーと表示されますが
管理者権限を持つアカウント同士なので権限不足ではないと思われます……

環境

アカウントA
・VPC 192.168.0.0/16
・サブネット 192.168.1.0/24

アカウントB
・VPC 192.167.0.0/16
・サブネット 192.167.10.0/24

セキュリティグループは両アカウント0.0.0.0/24を許可しています。

試したこと

両アカウントの使用ユーザにIAMでAdministratorAccessを付与しましたが
変わらず「action":"ec2:CreateVpcPeeringConnection\」のエラーが出ています。

yu_1985

2020/05/28 14:36

もう少し実際に行ったオペレーションを詳細に書いてみてください。また、ピア接続にセキュリティグループは関係ありません。両VPCのCIDRが被ってたりすると面倒なことになりますが、今回はそれもなさそうなので関係ないところですね。以下のあたりです。 > VPCのピアリング接続からピアリング接続の作成へ進み各必要事項を入力しピアリング接続の作成をクリックするとエラーが出るのですが、デコードすると権限不足？のエラーと表示されますが

kimsaac

2020/05/29 00:55

VPCの左側メニューからピアリング接続→ピアリング接続の作成へと進み下記を入力しました。ピアリング接続ネームタグ:test VPC (リクエスタ):アカウントAのVPC 別のアカウント:アカウントBのID リージョン:このリージョン VPC (アクセプタ)*:アカウントBのVPC すると、下記のエラーが表示されます(デコード後、ID等はマスクしています) "DecodedMessage": "{\"allowed\":false,\"explicitDeny\":true,\"matchedStatements\":{\"items\":[{\"statementId\":\"\",\"effect\":\"DENY\",\"principals\":{\"items\":[{\"value\":\"何かのID\"}]},\"principalGroups\":{\"items\":[]},\"actions\":{\"items\":[{\"value\":\"ec2:CreateVpcPeeringConnection\"},{\"value\":\"ec2:AcceptVpcPeeringConnection\"}]},\"resources\":{\"items\":[{\"value\":\"*\"}]},\"conditions\":{\"items\":[]}}]},\"failures\":{\"items\":[]},\"context\":{\"principal\":{\"id\":\"何かのID\",\"name\":\"アカウントAのユーザ名\",\"arn\":\"arn:aws:iam::アカウントAのID:user/アカウントAのユーザ名\"},\"action\":\"ec2:CreateVpcPeeringConnection\",\"resource\":\"arn:aws:ec2:ap-northeast-1:アカウントAのID:vpc-peering-connection/*\",\"conditions\":{\"items\":[{\"key\":\"aws:Region\",\"values\":{\"items\":[{\"value\":\"ap-northeast-1\"}]}},{\"key\":\"aws:Service\",\"values\":{\"items\":[{\"value\":\"ec2\"}]}},{\"key\":\"ec2:RequesterVpc\",\"values\":{\"items\":[{\"value\":\"arn:aws:ec2:ap-northeast-1:アカウントAのID:vpc/アカウントAのVPC\"}]}},{\"key\":\"aws:Resource\",\"values\":{\"items\":[{\"value\":\"vpc-peering-connection/*\"}]}},{\"key\":\"aws:Account\",\"values\":{\"items\":[{\"value\":\"アカウントAのID\"}]}},{\"key\":\"aws:Type\",\"values\":{\"items\":[{\"value\":\"vpc-peering-connection\"}]}},{\"key\":\"ec2:Region\",\"values\":{\"items\":[{\"value\":\"ap-northeast-1\"}]}},{\"key\":\"ec2:AccepterVpc\",\"values\":{\"items\":[{\"value\":\"arn:aws:ec2:ap-northeast-1:アカウントAのID:vpc/アカウントAのVPC\"}]}},{\"key\":\"aws:ARN\",\"values\":{\"items\":[{\"value\":\"arn:aws:ec2:ap-northeast-1:アカウントAのID:vpc-peering-connection/*\"}]}},{\"key\":\"ec2:VpcPeeringConnectionID\",\"values\":{\"items\":[{\"value\":\"*\"}]}}]}}}"

yu_1985

2020/05/29 02:40

それぞれのアカウントはいずれも自分で管理しているアカウントでしょうか？それともOrganizationで作成され割り当てられるなどしたアカウントでしょうか？

kimsaac

2020/05/29 04:28

Organizationで作成され割り当てられたアカウントです！