访问被拒绝，同时查询S3文件从AWS雅典娜在Lambda在不同的帐户

Question

我试图从我的Lambda代码查询雅典娜视图。为不同帐户中的S3文件创建雅典娜表。雅典娜查询编辑器给我下面的错误：

拒绝访问（服务：Amazon S3；状态代码：403；错误代码：AccessDended；

我试图从我的Lambda代码访问Athena View。创建Lambda执行角色，并在另一个帐户S3桶的桶策略中允许此角色，如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::2222222222:role/BAccountRoleFullAccess"
            },
            "Action": [
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::s3_bucket/*"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111111111:role/A-Role",
                    "arn:aws:iam::111111111:role/B-Role"
                ]
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::s3_bucket",
                "arn:aws:s3:::s3_bucket/*"
            ]
        }
    ]
}

从Lambda，得到以下错误：

    'Status': {'State': 'FAILED', 'StateChangeReason': 'com.amazonaws.services.s3.model.AmazonS3Exception: 
        Access Denied (Service: Amazon S3; Status Code: 403; Error Code: AccessDenied; Request ID: 3A8953784EC73B17; 
    S3 Extended Request ID: LfQZdTCj7sSQWcBqVNhtHrDEnJuGxgJQxvillSHznkWIr8t5TVzSaUwNSdSNh+YzDUj+S6aOUyI=), 
    S3 Extended Request ID: LfQZdTCj7sSQWcBqVNhtHrDEnJuGxgJQxvillSHznkWIr8t5TVzSaUwNSdSNh+YzDUj+S6aOUyI=
 (Path: s3://s3_bucket/Input/myTestFile.csv)'

此Lambda函数正在使用对Athena和S3具有完全访问权限的执行角色。

有人请指引我。

Answer 1

为了重现这种情况，我做了以下工作：

• 在Account-A中，创建了一个Amazon S3 bucket（bucket-A），并上传了一个CSV文件
• 在Account-B中，创建了具有S3和Athena权限的IAM角色（Role-B）
• 关闭了Bucket-A上的阻止公共访问功能
• 在引用角色B的bucket-a中添加了一个bucket策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::[ACCOUNT-B]:role/role-b"
            },
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::bucket-a",
                "arn:aws:s3:::bucket-a/*"
            ]
        }
    ]
}

• 在Account-B中，在Amazon Athena控制台中手动定义一个表

import boto3
import time

def lambda_handler(event, context):

    athena_client = boto3.client('athena')
    query1 = athena_client.start_query_execution(
        QueryString='SELECT * FROM foo',
        ResultConfiguration={'OutputLocation': 's3://my-athena-out-bucket/'}
    )
    time.sleep(10)

    query2 = athena_client.get_query_results(QueryExecutionId=query1['QueryExecutionId'])
    print(query2)

• 运行Lambda函数。它成功地从CSV文件返回了数据

请将您的配置与我采取的上述步骤进行比较。希望您能找到一个不同之处，使您能够通过雅典娜进行跨账户访问。

参考：跨账户访问-亚马逊雅典娜