通过EC2连接私有RDS执行命令无返回问题排查

首先明确：你在EC2中执行aws rds describe-db-instances无返回，和私有RDS实例的数据库连通性没有直接关联——该命令是调用AWS RDS服务的API端点，而非直连你私有RDS的数据库服务端口，排查不要走偏。
按优先级从高到低排查以下问题：

• IAM权限配置错误
  执行AWS CLI操作首先需要对应服务的操作权限：
  1. 进入EC2控制台选中堡垒机实例，在安全配置页查看实例绑定的IAM实例配置文件
  2. 核对该配置文件对应角色附加的IAM策略，确认包含rds:DescribeDBInstances操作权限，不存在显式拒绝该操作的策略语句
  3. 若未绑定实例配置文件，创建附加AmazonRDSReadOnlyAccess托管策略的IAM角色，绑定到EC2实例后重试命令
• 网络阻断导致无法访问AWS RDS API
  堡垒机通常和私有RDS同属私有子网，若子网没有对应路由，默认无法触达AWS RDS的API端点：
  1. 在EC2中执行curl -I https://rds.<你RDS所在区域代码>.amazonaws.com（例如北京区为rds.cn-north-1.amazonaws.com.cn）测试连通性
  2. 若连通失败，检查子网路由表：走公网访问API需要配置指向NAT网关/互联网网关的0.0.0.0/0路由；走内网访问需要为子网创建RDS服务对应的接口类型VPC端点，无需公网即可调用API
  3. 同步检查EC2绑定的安全组出站规则、子网关联的网络ACL，确认未阻断443端口的HTTPS出站流量
• AWS CLI本地配置错误
  1. 执行aws configure list核对当前CLI配置，确认填写的区域和RDS实际部署区域一致，避免因区域配置错误查询到空结果
  2. 若你未使用实例角色，而是手动在EC2上配置了AK/SK凭证，先执行aws sts get-caller-identity验证凭证有效性，排除凭证过期、权限不匹配问题
  3. 执行命令时追加--debug参数打印完整运行日志，定位具体卡点：是DNS解析失败、TCP连接超时，还是接口返回权限错误被静默忽略

待CLI命令可正常执行后，你实际登录RDS执行CREATE DATABASE操作时，不需要依赖AWS CLI：直接在EC2上安装对应数据库引擎的客户端工具，填写RDS私有端点、端口、账号密码即可连接。这一步需要单独检查RDS绑定的安全组入站规则，确保放通堡垒机EC2的私有IP/对应安全组的数据库端口访问权限。

内容的提问来源于stack exchange，提问作者rodrigo