无法从 S3 存储桶中访问从RDS导出的加密文件

【以下的问题经过翻译处理】 我通过“aws_s3.query_export_to_s3”函数将数据从 Aurora Postgres 实例导出到 S3。目标存储桶未启用默认加密。当我尝试下载其中一个文件时，出现以下错误：

The ciphertext refers to a customer mast3r key that does not exist, does not exist in this region, or you are not allowed to access.

注意：我不得不更改 mast3r 这个词，因为这个论坛不允许我发布它，因为它是一个“非包容性”的词......

原因似乎是文件已使用具有以下策略的 AWS 托管 RDS 密钥加密：

{
    "Version": "2012-10-17",
    "Id": "auto-rds-2",
    "Statement": [
        {
            "Sid": "Allow access through RDS for all principals in the account that are authorized to use RDS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:CallerAccount": "123456789",
                    "kms:ViaService": "rds.eu-central-1.amazonaws.com"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}

我假设在尝试通过 S3 解密文件时，由于“ViaService”条件，访问不起作用。

我尝试使用 root 用户而不是 IAM 用户访问文件并且它有效。有什么方法可以访问 IAM 用户吗？据我所知，您无法修改 AWS 托管密钥的策略。我也不明白为什么 root 用户可以解密文件，因为除了从 RDS 调用时的权限外，策略没有明确授予解密权限。