在不同账户中执行 Athena 查询后无法查看 S3 存储桶中的结果？

问题描述

我有两个帐户：帐户 A 和帐户 B。

我正在账户 A 中执行 Athena 查询，并希望将查询结果填充到账户 B 的 S3 存储桶中。

我已经在单个帐户中测试了无数次执行此操作的脚本，因此知道我的代码没有问题。 Athena 中的查询历史也表明我的代码运行成功，所以肯定是权限问题。

我可以在账户 B 中看到一个包含 CSV 文件的对象（如预期），但由于某种原因无法打开或下载它以查看内容。当我尝试这样做时，我只看到 XML 代码：

<Code>AccessDenied</Code>
<Message>Access Denied</Message>

在文件属性中，我看到 UnkNown Error 和 Server-side encryption settings 下的 You don't have permission to get object ACL 带有一条关于不允许 s3:GetobjectAcl 操作的消息。

我已尝试通过账户 B 中的存储桶策略为账户 A 和账户 B 授予完整的 S3 权限，如下所示：

{
  "Version": "2012-10-17","Statement": [
    {
      "Sid": "This is for Account A","Effect": "Allow","Principal": {
        "AWS": "arn:aws:iam::iam-number-account-a:root"
      },"Action": "s3:*","Resource": [
        "arn:aws:s3:::my-bucket-name","arn:aws:s3:::my-bucket-name/*"
      ]
    },{
      "Sid": "This is for Account B","Principal": {
        "AWS": "arn:aws:iam::iam-number-account-b:root"
      },"arn:aws:s3:::my-bucket-name/*"
      ]
    }
  ]
}

可能导致我的问题的一些其他存储桶（帐户 B）配置设置：

• 默认加密：已禁用

• 阻止公共访问：关闭所有内容

• 对象所有权：首选存储桶所有者

• 访问控制列表：

存储桶所有者 - 账户 B：对象（列表、写入）、存储桶 ACL（读取、写入）

外部账户 - 账户 A：对象（写入）、存储桶 ACL（写入）

如果有人能帮助确定我的问题以及我需要解决的问题，我们将不胜感激。几个小时以来，我一直在努力寻找解决方案。

解决方法

在属于不同 AWS 账户的 Amazon S3 存储桶中创建对象时的一个常见问题是对象“所有者”仍然是原始账户。在 Amazon S3 中复制对象时，可以通过指定 ACL=bucket-owner-full-control 来解决此问题。

但是，这在使用 Amazon Athena 创建文件时可能是不可能的。

查看其他类似的 StackOverflow 问题：

• How to ensure that Athena result S3 object with bucket-owner-full-control - Stack Overflow
• AWS Athena: cross account write of CTAS query result - Stack Overflow

一些解决方法可能是：

• 写入账户 A 中的 S3 存储桶并使用存储桶策略授予对账户 B 的读取访问权限，或
• 写入账户 A 中的 S3 存储桶并让 S3 触发 AWS Lambda 函数，该函数将对象复制到账户 B 中的存储桶，同时指定 ACL=bucket-owner-full-control、或
• 向账户 B 中的 IAM 用户或角色授予对源数据的访问权限，并从账户 B 运行 Athena 查询，以便账户 B 写入“输出”存储桶

,

CTAS 查询默认具有 bucket-owner-full-control ACL，用于通过 Athena 进行跨账户写入