使用Python在AWS创建Appflow CDK失败，求排查建议

部署Appflow CDK时遭遇403权限错误，堆栈回滚完成，具体错误信息：

堆栈部署失败：Error: 名为cdk-l-appflow-12202022的堆栈部署失败：UPDATE_ROLLBACK_COMPLETE: 资源处理程序返回消息："无法检索秘密ID为arn:aws:secretsmanager:us-east-1:588799296974:secret:vipsfsecret-66dxxqk0BGck-sPRzQs的密钥，原因是访问被拒绝。请确保AppFlow拥有Secrets Manager资源和加密所用KMS密钥的访问权限。(Service: Appflow, Status Code: 403, Request ID: 9aa02dee-db8c-46db-b495-8cb1392f510e)" (RequestToken: 47e0f482-6cd5-c7e6-1121-e107963c82e6, HandlerErrorCode: GeneralServiceException)

当前已完成的配置：

• 认证密钥存储在Secrets Manager中，配置的权限策略如下：

{
"Version" : "2012-10-17",
"Statement" : [ {
"Effect" : "Allow",
"Principal" : {
"Service" : "secretsmanager.amazonaws.com"
},
"Action" : [ "secretsmanager:GetResourcePolicy", "secretsmanager:GetSecretValue", "secretsmanager:DescribeSecret", "secretsmanager:ListSecretVersionIds", "secretsmanager:ListSecrets" ],
"Resource" : "*"
} ]
}

• 创建了新的KMS密钥，并在团队角色层面配置了包含kms:decrypt等权限的密钥策略。

• 修正Secrets Manager权限策略的主体：当前策略授权的是Secrets Manager服务自身，而实际需要访问Secret的是AppFlow服务，需将Principal改为appflow.amazonaws.com，保留核心操作secretsmanager:GetSecretValue即可满足需求。
• 完善KMS密钥策略：确保KMS密钥策略明确允许AppFlow服务执行kms:Decrypt操作，同时确认策略的Principal包含appflow.amazonaws.com，或关联的团队角色已被授权使用该密钥解密目标Secret。
• 检查AppFlow执行角色权限：部署AppFlow时使用的执行角色（或CDK部署角色）需具备访问目标Secret和KMS密钥的权限，需在角色的IAM策略中添加secretsmanager:GetSecretValue和kms:Decrypt的授权语句。
• 验证Secret的加密密钥匹配：确认目标Secret使用的加密KMS密钥正是你配置了权限的那个密钥，避免出现Secret默认使用AWS管理密钥但未配置对应权限的情况。
• 用IAM Access Analyzer排查权限：通过AWS IAM Access Analyzer检查AppFlow服务或执行角色对目标Secret和KMS密钥的访问权限，快速定位配置冲突或缺失项。

内容的提问来源于stack exchange，提问作者D.Issac