导出RDS Postgres快照至S3报错：export.rds.amazonaws.com无法假定IAM角色

排查方向及修复步骤 #

• 验证IAM角色的存在性与ARN准确性
  先确认arn:aws:iam::22222222222:role/service-role/export-rds-s3这个角色确实存在：

  • 登录IAM控制台，搜索角色名export-rds-s3，确认角色未被删除、状态正常
  • 核对ARN中的账号ID22222222222是否完全匹配你的AWS账号ID，任何字符错误都会导致角色无法被识别

• 修正IAM角色信任关系的区域限制
  export.rds.amazonaws.com是区域级服务，部分场景下需要明确限制允许的来源区域，修改信任关系如下：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Principal": {
                  "Service": "export.rds.amazonaws.com"
              },
              "Action": "sts:AssumeRole",
              "Condition": {
                  "StringEquals": {
                      "aws:SourceRegion": "你的RDS/S3所在区域（如us-west-2）"
                  }
              }
          }
      ]
  }
  

• 检查S3桶的权限冲突
  虽然你已给角色附加AmazonS3FullAccess，但需确认：

  • S3桶未开启阻止公共访问的严格规则（比如阻止所有跨账户访问）
  • 桶策略中没有其他Deny语句覆盖当前的允许规则

• 排查IAM角色的权限边界
  若该角色设置了权限边界，需确保边界允许sts:AssumeRole以及所有S3操作，否则会覆盖附加的AmazonS3FullAccess权限，导致权限不足。

• 等待IAM配置生效
  IAM角色的信任关系或权限修改后，可能存在5-10分钟的生效延迟，修改后等待一段时间再尝试导出操作。

内容的提问来源于stack exchange，提问作者Sam