EC2角色配置IAM权限后仍无法通过CLI从快照恢复Redshift集群的问题求助

我之前也碰到过类似的权限边界配置导致的问题，咱们一步步来排查和解决：

首先，你的错误提示明确指向IAM权限问题，而且其他Redshift操作（比如Describe、Delete）都正常，说明核心问题出在权限边界对redshift:RestoreFromClusterSnapshot操作的资源匹配上——因为权限边界是角色的权限上限，即使附加策略给了全量权限，只要边界没允许对应操作+资源，就会被拒绝。

排查步骤 #

1. 核对快照的实际ARN与权限边界的资源规则 #

Redshift快照的ARN格式是：arn:aws:redshift:<region>:<account-id>:snapshot:<source-cluster-name>/<snapshot-name>
你可以先运行以下命令获取目标快照的真实ARN：

aws redshift describe-cluster-snapshots --snapshot-identifier snapshotID

然后对比权限边界里的资源规则：arn:aws:redshift:us-west-1:123456789012:snapshot:*/*
重点检查：

• 区域是否一致（比如你执行命令的区域是不是us-west-1？如果没加--region参数，默认区域可能和快照所在区域不匹配）
• 账户ID是否正确（确认你的AWS账户ID是123456789012）
• 快照的集群名/快照名是否符合*/*的匹配规则（这个一般没问题，但如果是共享快照或者特殊命名的快照，可能需要调整）

2. 检查权限边界的JSON语法是否正确 #

你提供的权限边界片段里，第一个Allow语句结尾有个逗号，要确保整个权限边界的JSON是完整且有效的（比如外层有Version和Statement数组）。如果JSON有语法错误，可能导致部分规则不生效。

3. 模拟权限验证 #

用AWS CLI的权限模拟工具，精准排查该角色是否被允许执行目标操作：

aws iam simulate-principal-policy \
  --policy-source-arn arn:aws:iam::123456789012:role/你的EC2角色名 \
  --action-names redshift:RestoreFromClusterSnapshot \
  --resource-arns "arn:aws:redshift:us-west-1:123456789012:snapshot:源集群名/snapshotID" "arn:aws:redshift:us-west-1:123456789012:cluster:myNewCluster"

运行后查看EvaluationResults里的EvalDecision，如果是Deny，会给出具体的拒绝原因，帮你定位问题。

4. 确认是否遗漏了关联权限 #

虽然错误提示是针对RestoreFromClusterSnapshot，但创建集群时可能涉及其他EC2资源操作（比如子网、安全组），你的附加策略有ec2:*，但权限边界里没有允许EC2相关操作——不过如果是这个问题，错误提示可能会不一样，但可以临时在权限边界里添加EC2的必要权限测试：

{
  "Effect": "Allow",
  "Action": [
    "ec2:DescribeSubnets",
    "ec2:DescribeSecurityGroups",
    "ec2:DescribeVpcs"
  ],
  "Resource": "*"
}

常见修复方案 #

• 如果是区域不匹配：在恢复命令里明确指定--region us-west-1，或者修改权限边界里的区域为你实际使用的区域。
• 如果是快照ARN不匹配：调整权限边界里的资源规则，比如把*/*替换为具体的<源集群名>/<快照名>，或者确保账户ID和区域正确。
• 如果是权限边界语法错误：修复JSON格式，确保所有括号、逗号都正确闭合。

内容的提问来源于stack exchange，提问作者Filippo Loddo