“许可被拒绝”使用 Athena 发送查询时出错

Question

想要实现

我想在 AWS Athena 中执行 SELECT 语句，但收到以下错误。
Glue目录已准备好，元信息已准备好，DDL可以显示。
如果您能告诉我如何使查询正常工作，我将不胜感激。

SELECT * FROM "table_name" limit 10;

↓

Permission denied on S3 path: s3://backet_name/falder_name/db_name/table_name/parquet_name

error_message

"errorCode":"AccessDenied",
"errorMessage":"User: arn:aws:sts::<Account_ID>:assumed-role/AWSServiceRoleForLakeFormationDataAccess/AWSLF-00-AT-<Account_ID>-OSSm3ywcAP is not authorized to perform: kms:Decrypt on resource: arn:aws:kms:ap-northeast-1:<Account_ID>:key/○○ because no resource-based policy allows the kms:Decrypt action"

环境

AWS 上的 RDS 快照导出到 S3 并由 Glue 抓取以创建数据目录。 此外，我们正在使用 AWS LakeFormation 来管理数据。

设置

AWServiceRoleForLakeFormationDataAccess

将“AWServiceRoleForLakeFormationDataAccess”设置为爬网程序的服务角色。
允许此角色的策略包括。
・AWSGlueServiceRole
・AmazonS3ReadOnlyAccess
・kms-解密-策略
・LakeFormationGetPolicy

kms-decrypt-policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "*"
        }
    ]
}

LakeFormationGetPolicy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "lakeformation:GetResourceLFTags",
                "lakeformation:GetDataAccess",
                "lakeformation:ListLFTags",
                "lakeformation:GetLFTag"
            ],
            "Resource": "*"
        }
    ]
}

Athena 执行用户(datalake_user)

附加策略
・AmazonAthenaFullAccess
・AmazonS3FullAccess
・KMSFullAccessPolicy

湖形成>权限

LF-标签

AWS Lake Formation >授予权限>授予数据权限

AWS Lake Formation >数据库> db_sample_for_athena

Answer 1

将 KMS 附加到 AWServiceRoleForLakeFormationDataAccess 解决了该问题。