De ce DB-ul meu nu poate face backup în bucket-ul meu S3?

Încerc să testez o copie de rezervă și o restaurare diferențială pe o instanță RDS SQL Server 2019, în pregătirea pentru migrarea unor resurse web în AWS. Atât instanța EC2 (Windows Server 2019) pe care rulez SSMS, cât și instanța RDS au roluri cu acces complet S3 folosind AmazonS3FullAccess politică (mi se pare că doar instanța RDS ar trebui să aibă nevoie de asta, dar am fost surprins de prea multe ori să cred presupunerile mele). Bucket-ul S3 în care încerc să scriu este același bucket din care am restaurat/creat baza de date în primul rând, așa că sunt sigur că este în aceeași zonă de disponibilitate și vizibil pentru instanță.

Aceasta este comanda pe care o execut în fereastra de interogare SSMS:

EXEC msdb.dbo.rds_backup_database 
     @source_db_name = 'noastra_database', 
     @s3_arn_to_backup_to = 'arn:aws:s3:::our-bucket/database_differential.bak', 
     @overwrite_S3_backup_file = 1, 
     @type = 'DIFERENȚIAL';

Sarcina este creată OK, dar eșuează aproape instantaneu cu acest mesaj:

[2021-08-25 22:32:22.070] Execuția sarcinii a început.
[2021-08-25 22:32:22.170] Sarcina a fost anulată din cauza unei eșecuri a sarcinii sau a unei suprapuneri cu fereastra de backup preferată pentru backup automat RDS.
[2021-08-25 22:32:22.173] Sarcina a fost întreruptă
[2021-08-25 22:32:22.177] Acces refuzat

Fereastra de backup automată pentru această instanță este 08:01-08:31 așa că nu văd că ora 22:32 este în conflict cu asta.Am deschis găleata pentru accesul public și, după cum am menționat, am acordat roluri de acces complet instanțelor participante. Nici SQL Server, nici AWS nu sunt timoneria mea și tot ce am reușit să găsesc într-o oră pe Google sunt recomandări pentru a verifica lucrurile pe care le-am menționat deja. Ce altceva ar trebui să încerc?

Adăugarea unei politici S3 în grupul meu a rezolvat problema pentru mine

{ „Versiune”: „2012-10-17”, „Id”: „123”, „Declarație”: [ { „Sid”: „”, „Efect”: „Permite”, „Principal”: „”, „ Acțiune": "s3:", "Resurse": "arn:aws:s3:::mybucket/*" } ] }