跨AWS账户将IoT Rule连接至MSK Kafka实例失败求助

我们使用多个AWS账户区分区域与“全局”功能/存储，近期切换为MQTT IoT Rules，计划采用全局MSK Kafka实例处理数据。目前同账户内区域IoT向区域Kafka推送数据已实现，但跨账户将区域IoT连接至全局Kafka时失败。

• 已配置日志组作为错误动作，但IoT Rule未向Cloudwatch Logs上报任何错误
• 已设置VPC对等连接，安全组已允许对应CIDR访问，其他跨区域至全局的服务运行正常
• 在与IoT Rule相同VPC、子网和安全组下创建的区域EC2实例，可正常与Kafka进行生产和消费操作

推测问题可能出在以下两点：

1. 区域内无法访问全局MSK的bootstrap URLs
2. 密钥的用户名/密码权限不足

相关配置信息 #

IAM角色权限（arn:aws:iam::12345:role/TestRole）

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:DescribeSecret"
    ],
    "Resource": "arn:aws:secretsmanager:region:9876:secret:AmazonMSK_TestSecret"
}

密钥引用语句

${get_secret('arn:aws:secretsmanager:region:9876:secret:AmazonMSK_TestSecret', 'SecretString', 'username', 'arn:aws:iam::12345:role/TestRole')}

熟悉跨账户读取SecretsManager密钥或跨账户使用MSK Bootstrap URLs操作的朋友，恳请提供指导。

内容的提问来源于stack exchange，提问作者KeithB