Eu finalmente descobri o que estava errado: não estava especificando adequadamente uma função de serviço. Consulte aqui para saber como fazer isso. Depois de criar uma função de serviço com as permissões necessárias, você precisará obter o ARN dessa função para fazer referência a ele.