Redshift Serverless中通过IAM角色自动化创建用户的权限及API调用问题咨询

我太懂你现在的困扰了——想用Python脚本或者CDK的AWSCustomResource自动创建Redshift Serverless用户，结果要么碰上个权限不够的报错，要么指定DbUser参数时又被提示Serverless请求里不能用这个参数，属实是两头卡壳。别着急，我来给你捋清楚怎么解决这俩问题：

首先得明确一个关键点：Redshift Serverless和传统的Redshift集群不一样，它是靠IAM身份映射来关联数据库权限的，完全不支持在execute_statement API里指定DbUser参数，所以你之前加DbUser='admin'那步肯定会报错，直接删掉这个参数就好。

接下来是核心的权限问题：要让IAM角色能自动执行CREATE USER语句，你需要把IAM角色和Redshift Serverless里拥有足够权限的数据库身份绑定起来，具体操作分这几步：

1. 在Redshift Serverless中配置数据库权限 #

先登录到Redshift Serverless的查询控制台，执行SQL来创建一个拥有创建用户权限的数据库角色（或者直接用超级用户权限，不过推荐最小权限原则）：

-- 先创建一个专门用来创建用户的角色，赋予CREATEROLE权限（包含创建用户的权限）
CREATE ROLE user_provisioner WITH CREATEROLE;

-- 或者如果你的场景确实需要超级用户权限，也可以直接创建：
-- CREATE ROLE user_provisioner SUPERUSER;

然后把这个数据库角色和你的IAM角色绑定，创建一个关联的数据库用户：

-- 替换成你实际用来调用API的IAM角色ARN
CREATE USER iam_provisioner IAM_ROLE 'arn:aws:iam::123456789012:role/your-redshift-provision-role';

-- 把刚才创建的数据库角色权限赋予这个IAM关联用户
GRANT ROLE user_provisioner TO iam_provisioner;

2. 配置IAM角色的API调用权限 #

确保你的IAM角色拥有调用Redshift Serverless相关API的权限，给它附加这样的IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "redshift-serverless:ExecuteStatement",
            "Resource": "arn:aws:redshift-serverless:us-east-1:123456789012:workgroup/emr-workgroup"
        },
        {
            "Effect": "Allow",
            "Action": "redshift-serverless:GetStatementResult",
            "Resource": "*"
        }
    ]
}

注意替换里面的区域、AWS账号ID和你的工作组名称，这样这个IAM角色才能调用execute_statement来执行创建用户的SQL，同时能获取执行结果确认是否成功。

3. 调整你的自动化代码 #

现在把代码里的DbUser参数删掉，确保代码是用刚才配置好的IAM角色来运行的。比如Python脚本可以写成这样：

import boto3

# 初始化Redshift Serverless客户端
redshift_client = boto3.client('redshift-serverless')

# 要执行的创建用户SQL
create_user_sql = 'CREATE USER "john" PASSWORD \'johnDoe1\';'

# 调用execute_statement API，注意不要加DbUser参数
execute_response = redshift_client.execute_statement(
    WorkgroupName='emr-workgroup',
    Database='dev',
    Sql=create_user_sql
)

# 可选：获取执行结果验证是否成功
result_response = redshift_client.get_statement_result(Id=execute_response['Id'])
print("执行结果:", result_response)

如果是用CDK的AWSCustomResource，只要确保自定义资源使用的IAM角色是我们刚才配置好的那个，并且在调用API时去掉DbUser参数就行。

最后再提几个要注意的坑：

• 确保IAM角色的信任策略允许你的执行主体（比如Lambda函数、ECS任务、本地开发环境）来扮演这个角色，不然会出现身份验证失败的问题。
• 数据库里的IAM角色ARN一定要写对，多一个少一个字符都会导致权限映射失败，还是会碰上个权限不足的报错。
• 尽量遵循最小权限原则，能不用超级用户就不用，用CREATEROLE权限足够创建用户了。

内容来源于stack exchange