Redshift定时查询IAM角色配置故障排查求助

以下是你可能遗漏的关键配置项：

• 数据库内用户权限配置
  仅将IAM角色关联到集群还不够，需要在Redshift数据库中创建与该IAM角色绑定的用户，并授予执行查询所需的具体权限：

  -- 创建关联IAM角色的数据库用户（替换为你的账户ID）
  CREATE USER scheduled_query_user IAM_ROLE 'arn:aws:iam::123456789012:role/redshift-scheduled-query';
  -- 授予查询所需权限（示例：访问public schema的查询权限）
  GRANT SELECT ON SCHEMA public TO scheduled_query_user;
  -- 若需写入操作，添加对应权限
  GRANT INSERT, UPDATE ON TABLE public.target_table TO scheduled_query_user;
  

• 补充CloudWatch日志权限
  当前附加的权限策略未包含CloudWatch日志相关权限，定时查询的执行日志会输出到CloudWatch，缺少该权限可能导致查询执行失败或无法查看日志。需为角色添加CloudWatchLogsFullAccess策略，或使用精细化权限：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "logs:CreateLogGroup",
                  "logs:CreateLogStream",
                  "logs:PutLogEvents"
              ],
              "Resource": "arn:aws:logs:*:*:*"
          }
      ]
  }
  

• EventBridge规则目标绑定角色
  创建EventBridge定时规则时，选择Redshift作为目标类型后，必须在目标配置中指定redshift-scheduled-query为执行角色，否则EventBridge无法调用该角色触发查询。

• Redshift Data API启用检查
  若通过Redshift Data API执行定时查询，需确认集群已启用Data API（在Redshift控制台集群的「配置」标签页查看）；若集群在VPC内，还需确保安全组允许EventBridge访问Redshift端点，或配置VPC端点供Data API使用。

• 信任策略的账户限制（可选）
  为提升安全性，可在信任策略中添加条件，限制仅你的AWS账户下的服务能assume该角色：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Principal": {
                  "Service": [
                      "events.amazonaws.com",
                      "redshift.amazonaws.com"
                  ]
              },
              "Action": "sts:AssumeRole",
              "Condition": {
                  "StringEquals": {
                      "aws:SourceAccount": "你的账户ID"
                  }
              }
          }
      ]
  }
  

内容的提问来源于stack exchange，提问作者abhinavkm