API Gateway WebSocket 服务端回推 403：控制面动词与 ManageConnections 权限分离

一句话摘要：给 IAM 组配齐了 apigateway:* 控制台五种 HTTP 动词，后端服务调用 @connections 向 WebSocket 客户端回推消息依然报 403 AccessDeniedException——因为控制台建路由走控制面 apigateway，而服务端向已建立连接推消息走数据面 execute-api:ManageConnections。

[外链图片转存中…(img-WX03tUWJ-1793375809968)]

---

一、故障现象：控制台能建 API，服务端回推却 403

在搭建实时智能问答或在线客服系统时，通常会使用 AWS API Gateway WebSocket API：浏览器通过 wss:// 建立长连接，后端工作进程处理完消息后，拿 connectionId 调 PostToConnection 把结果推回浏览器。

排查现场经常遇到两阶段连环报错：

1. 第一阶段（控制台向导报错）：研发在控制台创建 WebSocket API 时，每点下一步就弹出一条 apigateway:POST、apigateway:PATCH 或 apigateway:DELETE

转载自 CSDN-专业IT技术社区

原文链接：https://blog.csdn.net/u012172506/article/details/169565304