**Estou tentando fazer uma restauração de um banco de dados em uma instância RDS para SQL Server a partir de um backup em um bucket S3 que está em outra conta da AWS, mas continuo recebendo o erro `Access Denied`, mesmo após validar toda a configuração. Gostaria de compartilhar meu processo de depuração passo a passo para ver se alguém já enfrentou algo parecido ou tem alguma ideia do que pode estar acontecendo.**

## 1. Ambiente e Objetivo

* Conta A (Destino): Contém a instância RDS para SQL Server.
* Conta B (Origem): Contém o bucket S3 com os arquivos de backup .bak.

**Objetivo:** Executar o comando `msdb.dbo.rds_restore_database` na instância RDS (Conta A) para restaurar um backup a partir do bucket S3 (Conta B).

## 2. O Problema: Erro "Access Denied"

A tarefa de restauração no RDS falha consistentemente com a seguinte mensagem no log:

```
[TIMESTAMP] Aborted the task because of a task failure or a concurrent RESTORE_DB request. 
[TIMESTAMP] Task has been aborted 
[TIMESTAMP] Access Denied
```

Um teste secundário usando `BULK INSERT` a partir de um arquivo .csv no mesmo bucket também falhou, com um erro equivalente de permissão:

> Cannot find the CREDENTIAL 's3://meu-bucket-cross-account/test.csv', because it does not exist or you do not have permission.

## 3. Diagnóstico Completo Realizado
Aqui estão todos os passos que já executei para tentar resolver o problema:

### Fase 1: Configuração e Validação de Permissões (IAM & S3)

#### 1. IAM Role (Conta A): Criei uma IAM Role (MinhaRoleRDSParaS3) dedicada na Conta A com uma política de confiança no serviço rds.amazonaws.com.
#### 2. Política de Permissões (Conta A): Anexei a seguinte política à role, concedendo acesso de leitura ao bucket na Conta B:

```JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [ "s3:ListBucket", "s3:GetObject" ],
            "Resource": [ "arn:aws:s3:::meu-bucket-cross-account", "arn:aws:s3:::meu-bucket-cross-account/*" ]
        }
    ]
}
```
#### 3. Política do Bucket S3 (Conta B): Apliquei a seguinte política ao meu-bucket-cross-account, confiando na role da Conta A:

```JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::ID_CONTA_A:role/MinhaRoleRDSParaS3" },
            "Action": [ "s3:GetObject", "s3:ListBucket" ],
            "Resource": [ "arn:aws:s3:::meu-bucket-cross-account", "arn:aws:s3:::meu-bucket-cross-account/*" ]
        }
    ]
}
```

#### 4. PROVA DE SUCESSO VIA CLI: Para validar as políticas, assumi a role `MinhaRoleRDSParaS3` a partir do CloudShell na Conta A e executei comandos no bucket da Conta B. Ambos os testes funcionaram perfeitamente, provando que as políticas de IAM e S3 estão funcionalmente corretas.

* `aws s3 ls s3://meu-bucket-cross-account/` -> SUCESSO
* `aws s3api head-object --bucket meu-bucket-cross-account --key <arquivo>`  -> SUCESSO


### Fase 2: Validação Completa da Rede (Conta A)
#### 1. Acesso Público do RDS: A instância RDS está configurada com "Publicamente acessível: Sim".
#### 2. Tabela de Rotas: A sub-rede do RDS é pública e possui uma rota `0.0.0.0/0` para um Internet Gateway.
#### 3. VPC Endpoint: Não existe um VPC Gateway Endpoint para o S3 na VPC do RDS.

### Fase 3: Teste de Isolamento com Arquivo Limpo

Para eliminar a possibilidade de o problema ser o arquivo de backup (criptografia TDE, corrupção, etc.), fiz o seguinte:

#### 1. Criei um novo banco de dados no RDS.
#### 2. Gerei um backup deste banco para um bucket S3 na mesma Conta A. -> A operação foi um SUCESSO.
#### 3. Copiei este arquivo de backup sabidamente válido para o `meu-bucket-cross-account` na Conta B.
#### 4. Tentei restaurar este novo arquivo a partir do bucket na Conta B. -> A operação FALHOU com o mesmo erro "Access Denied".

> Em resumo,o que eu consegui configurar e validar como usuário parece estar 100% correto. O teste via CLI mostram que as permissões funcionam, e o teste de isolamento prova que o problema não está no arquivo de backup, mas sim na interação do serviço RDS com um bucket em outra conta. No Destino consigo ler e listar os objetos do Bucket  da Origem. Porém o RDS continua com o erro de `acesso negado`

**Alguém na comunidade já enfrentou um cenário "PARECIDO" como este? Existe alguma particularidade do RDS para SQL Server ou uma configuração que eu possa ter deixado passar?**

Já passei pelas documentações e guias de troubleshooting:
- https://aws.amazon.com/pt/blogs/database/migrating-microsoft-sql-server-enterprise-workloads-to-amazon-rds/
- https://repost.aws/pt/knowledge-center/cross-account-access-s3
- https://repost.aws/knowledge-center/rds-sql-server-fix-native-backup-restore
- https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-walkthroughs-managing-access-example4.html
- https://stackoverflow.com/questions/57005157/restore-from-s3-bucket-to-sql-server-getting-error-database-backup-restore-optio
- https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-walkthroughs-managing-access-example2.html
- https://aws.amazon.com/pt/blogs/database/setting-up-for-cross-account-native-backup-and-restore-in-amazon-rds-for-microsoft-sql-server/
- https://repost.aws/questions/QUr8r7PAVVR2aVOhEQ-gvi8Q/restore-rds-sql-backup-from-s3-bucket-across-accounts
- https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_permissions-to-switch.html e https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html

All Content tagged with Permissões de acesso Amazon S3

Erro em restauração de banco do S3 para o RDS SQL Server ent...