AWS IAM用户可连接RDS，但角色无法连接问题求助

最可能的根因：RDS IAM认证用户绑定的IAM主体不匹配 #

你遇到的核心问题是：RDS的IAM认证DB用户是绑定IAM用户ARN创建的，而使用AssumeRole生成的临时凭证对应的IAM主体是角色的假定会话ARN（格式为arn:aws:sts::账号ID:assumed-role/角色名/会话名），两者不匹配导致认证失败。而IAM用户的主体正好和DB用户绑定的ARN一致，所以能正常连接。

解决步骤 #

1. 验证当前DB用户的绑定主体
   登录你的RDS数据库，执行SQL查询查看目标用户的绑定信息：

   SELECT user, authentication_string FROM mysql.user WHERE user = 'auth.user';
   

   如果authentication_string字段显示的是IAM用户的ARN，直接确认这就是问题根源。

2. 重新创建DB用户并绑定IAM角色ARN
   执行以下SQL修改DB用户的绑定关系：

   -- 先删除原有用户（如果存在）
   DROP USER IF EXISTS 'auth.user';
   -- 创建绑定IAM角色ARN的IAM认证用户
   CREATE USER 'auth.user' IDENTIFIED WITH AWSAuthenticationPlugin AS 'arn:aws:iam::你的账号ID:role/你的角色名';
   -- 授予该用户数据库操作权限（根据你的需求调整）
   GRANT SELECT, INSERT, UPDATE, DELETE ON db.public.* TO 'auth.user';
   FLUSH PRIVILEGES;
   

其他补充排查方向 #

如果上述方法无效，检查以下内容：

• 临时凭证的SessionToken传递：你的代码中已将包含sessionToken的凭证传给Signer，这部分逻辑正确，但可以打印rds对象确认sessionToken是否被正确带入。
• STS与RDS的区域一致性：确保STSClient使用的区域与RDS实例所在区域env.DB_REGION一致，跨区域生成的临时凭证可能导致认证异常。修改STSClient的region参数为env.DB_REGION再测试。
• RDS权限策略的资源格式：确认策略中rds-db:connect动作对应的资源是RDS实例的资源ID格式，而非ARN。资源格式应为：arn:aws:rds-db:区域:账号ID:dbuser:实例资源ID/用户名。你可以在RDS控制台的实例详情页找到资源ID。

内容的提问来源于stack exchange，提问作者Arlen Beiler