如何创建允许AWS AppRunner应用查询DynamoDB的IAM角色？角色不显示如何解决？

1. 验证IAM角色的类型与信任策略 #

这是该问题最常见的诱因：

• 确认你创建的是AppRunner实例角色（用于给运行中的应用代码授予AWS服务访问权限），而非AppRunner服务角色（用于AppRunner平台拉取镜像、读取日志等平台侧操作），只有实例角色会出现在运行时权限的可选列表中
• 角色的信任策略必须允许AppRunner服务代入，正确的信任策略配置如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "tasks.apprunner.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

• 不要在信任策略中额外添加IP限制、源ARN限制等过滤条件，额外限制会导致角色无法被AppRunner识别到。

2. 核对区域与账号一致性 #

• IAM角色虽然是全局资源，但AppRunner的角色选择列表仅展示当前账号下的角色，跨账号创建的角色无法直接选择
• 如果你使用了AWS Organizations的多账号配置，确认当前操作的账号与创建角色的账号归属一致。

3. 排查列表加载问题 #

• AppRunner控制台的角色下拉列表默认最多展示100个IAM角色，如果你的账号下角色总量超过100，直接在下拉框的搜索栏输入你创建的角色名即可精准搜索到目标角色
• 确认你当前登录的AWS账号拥有iam:ListRoles权限，缺少该权限会导致角色列表加载不全。

4. 缓存问题应急处理 #

如果以上配置都确认正确仍无法看到角色：

• 清空浏览器缓存后刷新AppRunner控制台页面，重新打开安全配置页
• 可以直接通过AWS CLI绕过控制台列表限制绑定角色，命令示例：
  aws apprunner update-service --service-arn <你的AppRunner服务ARN> --instance-configuration InstanceRoleArn=<你的IAM角色完整ARN>

内容的提问来源于stack exchange，提问作者dave