AWS Elastic Beanstalk环境健康降级：RDS权限与证书问题求助

1. 解决aws-elasticbeanstalk-service-role的AccessDenied错误 #

要让该角色获得修改RDS实例的权限，按以下步骤操作：

• 登录IAM控制台，定位到aws-elasticbeanstalk-service-role角色
• 为角色添加权限，可选两种方式：
  1. 附加AWS托管策略AWSElasticBeanstalkService（若角色未关联该策略），该策略包含Beanstalk服务所需的全量权限
  2. 创建或编辑自定义策略，添加针对目标RDS实例的rds:ModifyDBInstance权限，示例策略语句：

     {
         "Effect": "Allow",
         "Action": "rds:ModifyDBInstance",
         "Resource": "arn:aws:rds:[你的区域]:[AWS账号ID]:db:[目标RDS实例名]"
     }
     

• 确认策略中的资源ARN与你的RDS实例完全匹配，避免过度授权

2. 即将过期的RDS CA证书是否会导致环境健康降级？ #

本次环境健康降级的直接原因并非CA证书过期，而是Beanstalk服务角色缺少RDS修改权限，导致回滚操作失败。
但CA证书过期会带来后续风险：证书过期后，应用服务器与RDS实例的SSL连接会中断，届时会引发数据库连接失败，进而导致环境健康降级。因此需及时处理证书问题，但它不是当前故障的根源。

3. 权限与证书更新后恢复环境健康的步骤 #

按以下无数据风险的流程操作：

1. 更新RDS CA证书：
   • 进入RDS控制台，找到目标实例，点击“修改”
   • 在“数据库选项”中找到“证书颁发机构”，选择最新的CA证书（如rds-ca-2024）
   • 勾选“立即应用”（此操作仅更新证书，不会重启数据库，无数据风险）
   • 提交修改，等待证书更新完成
2. 确认权限配置生效：检查IAM控制台中aws-elasticbeanstalk-service-role角色已正确关联包含rds:ModifyDBInstance权限的策略
3. 恢复Beanstalk环境：
   • 进入Elastic Beanstalk控制台，选择Univexch-env环境
   • 点击“操作”→“回滚到上一次成功的版本”
   • 若回滚失败，尝试“重新部署应用”，选择之前运行正常的应用版本
4. 验证状态：等待环境更新完成，查看健康状态是否恢复为绿色，同时检查环境事件日志确认无报错
5. 验证数据库连接：确认应用服务器能正常连接RDS实例，排除证书更新导致的连接问题

内容的提问来源于stack exchange，提问作者Maverick