Amazon Lightsail – Errore «Le credenziali del provider inserite non sembrano essere valide» nonostante i test AWS CLI riusciti
Buongiorno,sto cercando di installare 3CX BASIC (20.0) 4SC - Self-Hosted su Amazon Lightsail, ma la procedura guidata di installazione di 3CX rifiuta immediatamente le mie credenziali AWS mostrando il messaggio:
«Le credenziali del provider inserite non sembrano essere valide».
L'errore compare subito dopo aver inserito l'Access Key ID e il Secret Access Key. La procedura non avanza alla schermata successiva, nella quale dovrebbero essere selezionati il nome dell'istanza, la regione, la coppia di chiavi SSH e il piano della macchina virtuale.
Ho seguito la guida ufficiale:
1. Configurazione dell'account AWS
- Ho creato un nuovo account AWS utilizzando la nuova esperienza AWS basata su progetti.
- Amazon Lightsail è accessibile regolarmente dalla console AWS.
- Utente IAM: 3cx-deploy
- Policy AWS gestita associata: AmazonEC2FullAccess
- Policy inline personalizzata: Lightsail-3CX, con autorizzazione lightsail:* e risorsa *.
- Ho creato una chiave di accesso attiva, verificando che sia associata all'utente IAM corretto.
- Inserisco nel wizard 3CX l'Access Key ID e il Secret Access Key copiati dal file scaricato durante la creazione della chiave.
2. Verifiche eseguite tramite AWS CLI
Ho configurato un profilo AWS CLI denominato 3cx-deploy, utilizzando esattamente le stesse credenziali inserite in 3CX.Il comando: aws sts get-caller-identity --profile 3cx-deploy
viene eseguito correttamente e restituisce l'identità AWS prevista.
Anche le seguenti chiamate API Lightsail funzionano nella regione Stoccolma (eu-north-1):
aws lightsail get-regions --profile 3cx-deploy --region eu-north-1 --query "length(regions)" --output text
Risultato: 19
aws lightsail get-bundles --profile 3cx-deploy --region eu-north-1 --query "length(bundles)" --output text
Risultato: 100
aws lightsail get-blueprints --profile 3cx-deploy --region eu-north-1 --query "length(blueprints)" --output text
Risultato: 39
Anche il comando seguente funziona correttamente e restituisce un elenco vuoto, perché non sono ancora state create istanze:
aws lightsail get-instances --profile 3cx-deploy --region eu-north-1
La chiamata get-regions funziona anche utilizzando us-east-1 come endpoint API.
Al contrario, interrogando eu-central-1 (Francoforte), AWS restituisce un errore AccessDeniedException che indica un divieto esplicito imposto da una Service Control Policy (SCP).
3. Ulteriori verifiche
- La chiave di accesso risulta attiva nella console IAM.
- La cronologia degli accessi AWS mostra attività per Amazon Lightsail, autorizzata dalla policy Lightsail-3CX.
- Le chiamate API sopra indicate funzionano con le stesse credenziali che inserisco nel wizard 3CX.
- Non è stata ancora creata alcuna istanza Lightsail.
Considerato che le credenziali autenticano correttamente l'utente AWS e consentono di eseguire diverse operazioni API di Lightsail, vorrei capire perché il wizard 3CX le rifiuti immediatamente.È possibile che la nuova esperienza AWS basata su progetti, oppure le Service Control Policy gestite da AWS, non siano compatibili con la procedura di provisioning di 3CX su Lightsail?
In alternativa, il wizard richiede autorizzazioni IAM aggiuntive oppure esegue una chiamata API in una regione bloccata dalla SCP?
Vi chiedo cortesemente di indicarmi:
- Le autorizzazioni IAM esatte richieste dal wizard 3CX per Amazon Lightsail.
- Le regioni AWS supportate dalla procedura di installazione.
- Se esistono incompatibilità note con i nuovi account AWS basati su progetti o con le SCP gestite da AWS.
- Come individuare la specifica chiamata API che provoca il rifiuto delle credenziali.
