如何通过AWS CDK将AWSGlueServiceRole附加到手动创建角色？

核心原因 #

AWSGlueServiceRole是**AWS服务关联角色（Service-Linked Role）**专属的托管策略，这类策略的设计逻辑是仅允许AWS自动创建的对应服务关联角色使用，不支持手动附加到自定义创建的IAM角色上——这就是你调用add_managed_policy时报错的根本原因，和CDK版本无关。

可行解决方案 #

方案1：复刻策略权限到自定义策略 #

既然你已经手动复刻过权限，这里提供CDK中自动化实现的方式：
你可以直接引用AWSGlueServiceRole的权限内容，创建自定义托管策略后附加到你的角色：

# 复刻AWSGlueServiceRole的权限内容
glue_service_policy = iam.ManagedPolicy(
    self,
    "GlueServiceCustomPolicy",
    managed_policy_name="GlueServiceCustomPolicy",
    statements=[
        iam.PolicyStatement(
            actions=[
                "glue:*",
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:ListAllMyBuckets",
                "s3:GetBucketAcl",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcAttribute",
                "iam:ListRolePolicies",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "cloudwatch:PutMetricData"
            ],
            resources=["*"],
            effect=iam.Effect.ALLOW
        )
    ]
)

# 附加到自定义角色
self.glue_role.add_managed_policy(glue_service_policy)

方案2：使用CDK创建Glue服务关联角色（如果场景适配） #

如果你的业务场景不需要自定义角色的特殊配置，可以直接让CDK创建Glue的服务关联角色，AWS会自动为其绑定AWSGlueServiceRole策略：

# 创建Glue服务关联角色
glue_service_linked_role = iam.CfnServiceLinkedRole(
    self,
    "GlueServiceLinkedRole",
    aws_service_name="glue.amazonaws.com"
)

补充说明 #

虽然IAM控制台看起来可以手动附加，但实际上这是AWS控制台的特殊处理（底层会自动转换为复刻权限的逻辑），而CDK严格遵循IAM的API限制，因此不支持直接附加该策略。

内容的提问来源于stack exchange，提问作者Parman M. Alizadeh