AWS Redshift问题：主用户testuser无角色扮演权限（CloudFormation部署）

咱们先把问题拆解清楚：你已经通过CloudFormation部署了正常运行的Redshift集群，关联的IAM角色状态也是in-sync，但主用户testuser触发了"Masteruser not authorized to assume role"错误。核心原因是Redshift主用户要使用IAM角色，需要同时满足IAM层的信任策略配置和Redshift内部的权限授权，下面一步步来解决：

1. 检查并修正IAM角色的信任策略 #

你的test-iam-role信任策略里，必须允许Redshift服务代表用户去扮演这个角色。确保Principal.Service列表中包含redshift.amazonaws.com，修改后的信任策略示例如下：

"AssumeRolePolicyDocument": {
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "redshift.amazonaws.com",
          // 保留你之前配置的其他服务（比如ec2.amazonaws.com）
        ]
      }
    }
  ]
}

直接在CloudFormation栈中更新IAMInstanceRole的这部分配置后重新部署即可。

2. 在Redshift内部给主用户授予角色使用权限 #

即使IAM层配置正确，Redshift也不会自动让主用户拥有所有关联角色的使用权。你需要以testuser身份登录Redshift集群，执行以下SQL命令授权：

GRANT USAGE ON ROLE "arn:aws:iam::你的AWS账号ID:role/test-iam-role" TO testuser;

记得把命令中的ARN替换成你实际的IAM角色ARN（可以从IAM控制台或CloudFormation输出中获取）。

3. 验证配置是否生效 #

完成上述两步后，执行以下命令测试：

SET ROLE 'arn:aws:iam::你的AWS账号ID:role/test-iam-role';
SELECT current_user, current_role;

如果返回的current_role是你指定的IAM角色ARN，说明权限配置成功了。

另外，别忘了确认你的test-iam-role本身拥有你需要的业务权限（比如S3读写、Glue访问等），这部分如果之前已经配置过就无需改动。

内容的提问来源于stack exchange，提问作者dr34m3r