跨账号Elastic Beanstalk角色访问EventBridge资源策略授权失败问题

你遇到的问题是AWS跨账号资源访问的典型双边授权遗漏，具体问题和修复步骤如下：

核心遗漏点：账户A侧的角色未配置对应访问权限 #

AWS跨账号访问需要同时满足两个授权条件，缺一不可：

• 资源所属账号（账户B）的资源策略允许调用方身份访问
• 调用方身份所属账号（账户A）的IAM权限允许该身份访问目标跨账号资源
  你之前只配置了账户B侧的资源策略，没有给账户A的MyEBSRole配置访问账户B EventBridge的权限，这是访问失败的核心原因：
  • 你用CloudShell测试时正常，是因为CloudShell使用的身份本身已经有账户A的全局events类操作权限，只需要账户B侧允许账户A根用户即可通过验证
  • Elastic Beanstalk使用的MyEBSRole没有对应权限，无论怎么修改账户B侧的策略都无法通过授权校验

具体修复步骤 #

• 第一步：给账户A的MyEBSRole添加如下权限策略

{
    "Sid": "AllowCrossAccountEventBridge",
    "Effect": "Allow",
    "Action": [
        "events:PutRule",
        "events:ListRules",
        "events:DeleteRule",
        "events:DescribeRule",
        "events:DisableRule",
        "events:EnableRule",
        "events:PutTargets",
        "events:RemoveTargets"
    ],
    "Resource": "arn:aws:events:<Region>:<Account-B-ID>:rule/*"
}

请将占位符<Region>、<Account-B-ID>替换为你实际使用的区域、账户B的ID。

• 第二步：临时移除账户B EventBridge资源策略中的Condition块做验证
  你当前配置的events:creatorAccount条件在跨账号调用ListRules时可能触发拦截，先移除Condition块，测试访问正常后再按需调整条件规则。
• 第三步：排除缓存影响
  IAM策略变更存在最长5分钟的缓存延迟，修改完成后等待2~3分钟再发起测试。
• 第四步：确认调用参数正确
  检查Elastic Beanstalk业务代码中调用EventBridge接口时，指定的区域和你策略中的区域完全一致，没有填错区域参数。

内容的提问来源于stack exchange，提问作者Waqar Ahmed