SST项目中的SSM权限错误问题分析与解决方案

问题背景

在使用SST框架开发时，部分用户在运行sst dev命令时遇到了SSM(Simple Systems Manager)权限错误。错误信息显示用户角色未被授权执行ssm:GetParameter操作，即使该用户拥有AWS的AdministratorAccess权限。

问题表现

当用户执行sst dev命令时，控制台会输出以下错误：

operation error SSM: GetParameter, https response error StatusCode: 400, RequestID: 15121642-ee5d-459d-bca1-c3f763315863, api error AccessDeniedException: User: arn:aws:sts::USER:assumed-role/project-stage-WebDevServerRole-useast1/sst-dev is not authorized to perform: ssm:GetParameter on resource: arn:aws:ssm:us-east-1:975050252324:parameter/sst/bootstrap because no identity-based policy allows the ssm:GetParameter action

问题原因

经过分析，这个问题主要源于以下两个因素：

1. 命令执行方式变化：在较新版本的SST中，sst dev命令的执行逻辑发生了变化，导致它需要访问SSM参数存储中的特定参数。

2. 权限配置问题：即使用户拥有AdministratorAccess权限，但由于AWS IAM权限的继承和传播机制，某些情况下这些权限可能无法正确应用到临时角色上。

解决方案

针对这个问题，社区和开发者提供了几种有效的解决方案：

1. 修改package.json脚本： 将package.json中的开发脚本从sst dev改为next dev，这样可以避免触发SSM权限检查。

2. 使用基本模式： 执行sst dev --mode=basic命令，这种模式不会尝试访问SSM参数存储。

3. 降级SST版本： 暂时回退到0.1.29或0.1.64等已知工作正常的版本。

4. 明确添加SSM权限： 在IAM策略中明确添加对arn:aws:ssm:us-east-1:975050252324:parameter/sst/bootstrap的ssm:GetParameter权限。

技术细节

这个问题的本质在于SST框架在开发模式下需要访问AWS资源时的权限验证机制。在较新版本中，框架会尝试读取SSM参数存储中的引导配置参数，而这一操作需要明确的权限。

值得注意的是，即使用户账户拥有AdministratorAccess权限，但由于SST在开发模式下会使用临时角色(如project-stage-WebDevServerRole-useast1/sst-dev)，这些权限可能不会自动继承到临时角色上。

最佳实践

为了避免类似问题，建议开发者：

1. 仔细检查开发环境中的IAM权限配置
2. 了解SST框架在不同版本中的行为变化
3. 在团队内部统一SST版本
4. 考虑在CI/CD流程中加入权限验证步骤

SST团队在0.1.77版本中已经改进了错误提示信息，使问题更加清晰易懂，这体现了框架开发者对用户体验的持续关注。