在 Athena 中查询另一个 AWS 账户的 S3 存储桶中的数据时访问被拒绝

Question

我想使用 Glue Crawler 从 S3 存储桶中抓取数据。此 S3 存储桶位于另一个 AWS 账户中。我们打电话给账户 A。我的 Glue Crawler 在账户 B 中。

我在账户 B 中创建了一个角色并将其命名为 AWSGlueServiceRole-Reporting 我附上了以下政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::AccountAbucketname"
            ]
        },
        {
            "Sid": "ObjectAccess",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::AccountABucketName/Foldername/*"
            ]
        }
    ]
}

还有AWSGlueServiceRole policy。

在拥有 S3 存储桶的账户 A 中，我附加了以下存储桶策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountB:role/AWSGlueServiceRoleReporting”
      },
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Resource": "arn:aws:s3:::AccountABucketName"
    },
    {

      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountB:role/AWSGlueServiceRoleReporting”
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::AccountABucketName/FolderName/*"
    }
  ]
}

我能够在账户 B 中的这个 S3 存储桶上运行 Glue Crawler，它创建了 Glue Tables。但是当我尝试在 Athena 中查询它们时，我得到了拒绝访问。

谁能帮我在 Athena 中查询它？？

Answer 1

当 Amazon Athena 查询运行时，它们使用运行查询的用户的权限。

因此，您需要修改账户 A 中存储桶上的存储桶策略，以允许 在 Amazon Athena 中运行查询的任何人进行访问：

{
  "Version": "2012-10-17",
  "Statement": [
    {

      "Effect": "Allow",
      "Principal": {
        "AWS": [
            "arn:aws:iam::AccountB:role/AWSGlueServiceRoleReporting",
            "arn:aws:iam::AccountB:user/username"
        ]
      },
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Resource": "arn:aws:s3:::AccountABucketName"
    },
    {

      "Effect": "Allow",
      "Principal": {
        "AWS": [
            "arn:aws:iam::AccountB:role/AWSGlueServiceRoleReporting",
            "arn:aws:iam::AccountB:user/username"
        ]
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::AccountABucketName/FolderName/*"
    }
  ]
}

用户还需要足够的 S3 权限（在其 IAM 用户上）才能访问该 S3 存储桶。 （例如，在 S3 存储桶上拥有 s3:ListBucket 和 s3:GetObject。他们可能已经拥有这个，但值得一提。）

这与使用 IAM 角色的 AWS Glue 不同。 Athena 不接受 IAM 角色来运行查询。