ご返信ありがとうございます。
関係ありそうなブログ記事をみつけたのですが、参考になるでしょうか…。ルートアカウントのアクセスキーとシークレットアクセスキーが必要とのことです。
Amazon Product Advertising APIで使うシークレットアクセスキーを取得する | kwLog
そもそも仕様変更の意図としてAWSアカウントの元でユーザ(IAM User)が作成でき、「個別のユーザに適切な権限を与えよ」と理解していたのでその通りに試したのですが、何故かIAM UserでProduct Advertising APIは使えませんでした。
最近仕様が変わったようですね。ご指摘感謝いたします。