无法创建AWS Glue与RedShift Serverless的连接求助

问题详情 #

在西部区域的AWS Glue中创建与us-east-1区域RedShift Serverless的连接时，出现以下错误：

连接创建失败。
在验证凭证期间创建连接失败，请验证连接输入以及与Security Token Service、Secrets Manager和REDSHIFT的VPC连通性。

使用的IAM角色权限清单：

• AdministratorAccess
• AmazonRedshiftFullAccess
• AmazonS3FullAccess
• AmazonVPCFullAccess
• AWSGlueConsoleFullAccess
• AWSGlueServiceRole
• CloudWatchFullAccess
• CloudWatchFullAccessV2

IAM角色信任实体配置：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Principal": {
            "Service": [
                "glue.amazonaws.com",
                "redshift-serverless.amazonaws.com",
                "redshift.amazonaws.com",
                "lambda.amazonaws.com",
                "secretsmanager.amazonaws.com",
                "s3.amazonaws.com"
            ]
        },
        "Action": "sts:AssumeRole"
    }
]
}

RedShift Serverless关联安全组已配置入站规则（规则包含特定源的访问权限）

核心排查点与解决方案 #

1. 跨区域VPC连通性是核心问题 #

Glue与RedShift Serverless处于不同区域，默认VPC间无直接网络连通：

• 必须搭建跨区域VPC对等连接或AWS Transit Gateway，将Glue所在VPC与RedShift Serverless所在VPC建立网络互通。
• 在Glue连接配置时，务必选择能通过对等连接访问目标VPC的子网和安全组。

2. 安全组入站规则精准配置 #

• 确认RedShift Serverless的安全组入站规则，允许Glue所在VPC的CIDR段或安全组访问RedShift默认端口5439（若自定义端口则对应调整）。
• 避免过度开放（如0.0.0.0/0），严格限定源为Glue实际运行的网络范围。

3. Secrets Manager跨区域访问验证 #

若使用Secrets Manager存储RedShift凭证：

• 要么在Glue所在区域复制一份凭证，要么配置Secrets Manager的资源策略，允许跨区域的Glue服务调用secretsmanager:GetSecretValue接口。
• 检查IAM角色权限，确保secretsmanager:GetSecretValue的资源范围包含us-east-1目标Secret的ARN。

4. STS跨区域调用权限检查 #

• 确认账户未限制跨区域STS调用，IAM角色信任策略已包含glue.amazonaws.com，同时确保角色具备跨区域访问RedShift的STS权限。

5. 连接配置细节校验 #

• 核对RedShift Serverless的端点（命名空间端点）、端口是否输入正确。
• 若采用IAM凭证认证，确认Glue连接选择的IAM角色正确，且角色权限覆盖目标RedShift Serverless资源。

6. 路由表配置核查 #

• 检查Glue所在VPC的路由表，是否存在指向VPC对等连接/Transit Gateway的路由，目标地址为RedShift Serverless所在VPC的CIDR段。
• 检查RedShift Serverless所在VPC的路由表，是否有反向路由指向Glue所在VPC的CIDR段。

内容的提问来源于stack exchange，提问作者Dmitri