Erro em restauração de banco do S3 para o RDS SQL Server entre contas - "Access Denied" em Restore Cross-Account

Estou tentando fazer uma restauração de um banco de dados em uma instância RDS para SQL Server a partir de um backup em um bucket S3 que está em outra conta da AWS, mas continuo recebendo o erro Access Denied, mesmo após validar toda a configuração. Gostaria de compartilhar meu processo de depuração passo a passo para ver se alguém já enfrentou algo parecido ou tem alguma ideia do que pode estar acontecendo.

1. Ambiente e Objetivo

• Conta A (Destino): Contém a instância RDS para SQL Server.
• Conta B (Origem): Contém o bucket S3 com os arquivos de backup .bak.

Objetivo: Executar o comando msdb.dbo.rds_restore_database na instância RDS (Conta A) para restaurar um backup a partir do bucket S3 (Conta B).

2. O Problema: Erro "Access Denied"

A tarefa de restauração no RDS falha consistentemente com a seguinte mensagem no log:

[TIMESTAMP] Aborted the task because of a task failure or a concurrent RESTORE_DB request. 
[TIMESTAMP] Task has been aborted 
[TIMESTAMP] Access Denied

Um teste secundário usando BULK INSERT a partir de um arquivo .csv no mesmo bucket também falhou, com um erro equivalente de permissão:

Cannot find the CREDENTIAL 's3://meu-bucket-cross-account/test.csv', because it does not exist or you do not have permission.

3. Diagnóstico Completo Realizado

Aqui estão todos os passos que já executei para tentar resolver o problema:

Fase 1: Configuração e Validação de Permissões (IAM & S3)

1. IAM Role (Conta A): Criei uma IAM Role (MinhaRoleRDSParaS3) dedicada na Conta A com uma política de confiança no serviço rds.amazonaws.com.

2. Política de Permissões (Conta A): Anexei a seguinte política à role, concedendo acesso de leitura ao bucket na Conta B:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [ "s3:ListBucket", "s3:GetObject" ],
            "Resource": [ "arn:aws:s3:::meu-bucket-cross-account", "arn:aws:s3:::meu-bucket-cross-account/*" ]
        }
    ]
}

3. Política do Bucket S3 (Conta B): Apliquei a seguinte política ao meu-bucket-cross-account, confiando na role da Conta A:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::ID_CONTA_A:role/MinhaRoleRDSParaS3" },
            "Action": [ "s3:GetObject", "s3:ListBucket" ],
            "Resource": [ "arn:aws:s3:::meu-bucket-cross-account", "arn:aws:s3:::meu-bucket-cross-account/*" ]
        }
    ]
}

4. PROVA DE SUCESSO VIA CLI: Para validar as políticas, assumi a role MinhaRoleRDSParaS3 a partir do CloudShell na Conta A e executei comandos no bucket da Conta B. Ambos os testes funcionaram perfeitamente, provando que as políticas de IAM e S3 estão funcionalmente corretas.

• aws s3 ls s3://meu-bucket-cross-account/ -> SUCESSO
• aws s3api head-object --bucket meu-bucket-cross-account --key <arquivo> -> SUCESSO

Fase 2: Validação Completa da Rede (Conta A)

1. Acesso Público do RDS: A instância RDS está configurada com "Publicamente acessível: Sim".

2. Tabela de Rotas: A sub-rede do RDS é pública e possui uma rota 0.0.0.0/0 para um Internet Gateway.

3. VPC Endpoint: Não existe um VPC Gateway Endpoint para o S3 na VPC do RDS.

Fase 3: Teste de Isolamento com Arquivo Limpo

Para eliminar a possibilidade de o problema ser o arquivo de backup (criptografia TDE, corrupção, etc.), fiz o seguinte:

1. Criei um novo banco de dados no RDS.

2. Gerei um backup deste banco para um bucket S3 na mesma Conta A. -> A operação foi um SUCESSO.

3. Copiei este arquivo de backup sabidamente válido para o meu-bucket-cross-account na Conta B.

4. Tentei restaurar este novo arquivo a partir do bucket na Conta B. -> A operação FALHOU com o mesmo erro "Access Denied".

Em resumo,o que eu consegui configurar e validar como usuário parece estar 100% correto. O teste via CLI mostram que as permissões funcionam, e o teste de isolamento prova que o problema não está no arquivo de backup, mas sim na interação do serviço RDS com um bucket em outra conta. No Destino consigo ler e listar os objetos do Bucket da Origem. Porém o RDS continua com o erro de acesso negado

Alguém na comunidade já enfrentou um cenário "PARECIDO" como este? Existe alguma particularidade do RDS para SQL Server ou uma configuração que eu possa ter deixado passar?

Já passei pelas documentações e guias de troubleshooting:

• https://aws.amazon.com/pt/blogs/database/migrating-microsoft-sql-server-enterprise-workloads-to-amazon-rds/
• https://repost.aws/pt/knowledge-center/cross-account-access-s3
• https://repost.aws/knowledge-center/rds-sql-server-fix-native-backup-restore
• https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-walkthroughs-managing-access-example4.html
• https://stackoverflow.com/questions/57005157/restore-from-s3-bucket-to-sql-server-getting-error-database-backup-restore-optio
• https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-walkthroughs-managing-access-example2.html
• https://aws.amazon.com/pt/blogs/database/setting-up-for-cross-account-native-backup-and-restore-in-amazon-rds-for-microsoft-sql-server/
• https://repost.aws/questions/QUr8r7PAVVR2aVOhEQ-gvi8Q/restore-rds-sql-backup-from-s3-bucket-across-accounts
• https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_permissions-to-switch.html e https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html