Как настроить контроль IAM для AWS Aurora?

Question

Я хочу предоставить политику IAM с наименьшими привилегиями для управления созданием и удалением экземпляров AWS Aurora. Права на инстансы БД работают нормально, но объекты БД кластера удалить нельзя:

User xxxxxxx is not authorized to perform: rds:DeleteDBCluster

Вот какие права я хочу:

{
  "Sid": "313",
  "Effect": "Allow",
  "Action": [
    "rds:ModifyDBCluster",
    "rds:DeleteDBCluster"
  ],
  "Resource": "arn:aws:rds:eu-west-1:123456789101:cluster:*",
  "Condition": {
    "StringEquals": {
      "rds:cluster-tag/author": "qa"
    }
  }
}

Но насколько я тестировал, только это работает:

{
  "Sid": "313",
  "Effect": "Allow",
  "Action": [
    "rds:ModifyDBCluster",
    "rds:DeleteDBCluster"
  ],
  "Resource": "*"
}