AWS CDK配置EventBridge规则API Gateway目标无法绑定现有IAM执行角色

• 已配置指向现有API Gateway的EventBridge事件总线目标，除目标执行角色关联失败外，其余功能运行正常
• 现有IAM角色已附加execute-api:Invoke、execute-api:ManageConnections权限，信任策略已配置events.amazonaws.com为可代入主体，但始终无法成功将该角色绑定为API Gateway目标的执行角色
• 核心实现代码如下：

var role = Role.FromRoleName(this, roleId, roleName);

var rule = new Amazon.CDK.AWS.Events.CfnRule(this, ruleId, new Amazon.CDK.AWS.Events.CfnRuleProps
{
    EventBusName = busName,
    Name = ruleName,
    Description = ruleDescription,
    EventPattern = eventPattern,
    State = "ENABLED",
    
    Targets = new[]
    {
        new Amazon.CDK.AWS.Events.CfnRule.TargetProperty
        {
            Id = apiGatewayId,
            Arn = apiGatewayArn,
            InputTransformer = new Amazon.CDK.AWS.Events.CfnRule.InputTransformerProperty
            {
                InputPathsMap = inputPath,
                InputTemplate = inputTemplate,
            },                        
            RoleArn = role.RoleArn,
        },                    
    }
});

角色绑定失败通常由三类配置遗漏导致：

1. 角色信任策略缺失跨服务安全校验条件，触发AWS confused deputy防护拦截
2. 执行CDK部署的身份缺少iam:PassRole权限，无法将现有角色传递给EventBridge服务
3. 传入的API Gateway ARN格式错误，或角色权限覆盖的资源范围不符合要求

• 修正角色信任策略，必须添加源账号、源规则的条件限制，否则EventBridge会直接拒绝角色关联请求，正确信任策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "替换为你的AWS账号ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:events:替换为区域:替换为账号ID:rule/替换为事件总线名/替换为规则名"
        }
      }
    }
  ]
}

注意：如果使用默认事件总线，SourceArn中的事件总线名部分填default

• 给执行CDK部署的身份（本地CLI使用的用户/角色、CI/CD流程的执行角色）添加iam:PassRole权限，允许将目标角色传递给EventBridge服务，示例权限片段：

{
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::替换为账号ID:role/替换为你使用的现有角色名",
  "Condition": {
    "StringEquals": {
      "iam:PassedToService": "events.amazonaws.com"
    }
  }
}

• 校验角色权限的资源范围：execute-api:Invoke、execute-api:ManageConnections的授权资源必须包含目标API Gateway对应阶段的执行ARN，若账号配置了IAM权限边界，使用*作为全资源通配会被拦截，建议配置为arn:aws:execute-api:<region>:<account-id>:<api-id>/<stage>/*格式的精准ARN。
• 校验传入的apiGatewayArn格式：API Gateway目标需要传入执行API调用的阶段ARN，格式为arn:aws:execute-api:<region>:<account-id>:<api-id>/<stage>/*，不能传入API资源本身的控制面ARN（格式为arn:aws:apigateway:<region>::/restapis/<api-id>），格式错误会导致角色关联校验失败。
• 若不需要自定义细粒度权限，可替换为CDK L2层的ApiGateway目标构造，该构造会自动完成角色配置、权限绑定和部署依赖处理，避免手动编写Cfn底层资源带来的配置遗漏。

内容的提问来源于stack exchange，提问作者JPil