StepFunctions调用Redshift存储过程遇schema权限拒绝问题排查

核心结论 #

仅靠IAM权限无法直接访问Redshift内部的Schema和存储过程，必须在Redshift数据库内部为IAM角色对应的数据库用户授予明确的对象权限——你遇到的permission denied for schema mis是Redshift数据库层面的权限拒绝，而非IAM权限不足。

问题根源 #

从ExecuteStatement的输出可以看到，StepFunctions使用IAM角色调用Redshift Data API时，会自动生成格式为IAMR:<IAM角色名>的临时数据库用户（本例中为IAMR:StepFunctions-stepfunc-load-arvore-distribuicao-role-eed3bb05）。这个用户的数据库权限完全由Redshift内部的权限系统管理，IAM权限仅允许调用Data API接口，无法直接赋予Redshift对象访问权限。

具体解决步骤 #

以Redshift超级用户（如awsuser）身份登录目标数据库prod，执行以下SQL操作：

1. 确认IAM映射用户存在
   首次调用Data API时，Redshift会自动创建该用户，可执行以下语句验证：

   SELECT usename FROM pg_user WHERE usename = 'IAMR:StepFunctions-stepfunc-load-arvore-distribuicao-role-eed3bb05';
   

2. 授予Schema的USAGE权限
   要访问mis Schema下的存储过程，首先需要获得该Schema的使用权限：

   GRANT USAGE ON SCHEMA mis TO "IAMR:StepFunctions-stepfunc-load-arvore-distribuicao-role-eed3bb05";
   

3. 授予存储过程的EXECUTE权限
   明确授予目标存储过程的执行权限：

   GRANT EXECUTE ON PROCEDURE mis.myproc() TO "IAMR:StepFunctions-stepfunc-load-arvore-distribuicao-role-eed3bb05";
   

优化方案（批量管理权限） #

如果后续有多个IAM角色需要访问相同资源，建议通过组来统一管理权限：

-- 创建权限组
CREATE GROUP stepfunctions_redshift_ops;

-- 为组授予Schema和存储过程权限
GRANT USAGE ON SCHEMA mis TO stepfunctions_redshift_ops;
GRANT EXECUTE ON PROCEDURE mis.myproc() TO stepfunctions_redshift_ops;

-- 将IAM映射用户加入组
ALTER GROUP stepfunctions_redshift_ops ADD USER "IAMR:StepFunctions-stepfunc-load-arvore-distribuicao-role-eed3bb05";

关于redshift_data_api_user的说明 #

你创建的redshift_data_api_user是Data API的代理用户，但在你的场景中，StepFunctions直接使用IAM角色认证生成IAMR:前缀的用户，因此仅给redshift_data_api_user授权无法解决当前问题——需要针对实际执行SQL的IAMR:用户配置权限。

内容的提问来源于stack exchange，提问作者jfneis