如何通过PrivateLink在Athena中跨账户跨地域查询S3数据？

场景说明 #

我正在配置AWS Athena，用于查询满足以下条件的S3存储桶中的数据：

• 属于另一个AWS账户
• 位于不同地域
• 可通过S3的VPC终端节点（PrivateLink）访问

已完成的配置操作 #

数据账户（Account B）的S3桶策略 #

// Bucket policy（附加到S3存储桶）
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCrossAccountAccessFromAthena",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111111111111:root" // Account A（Athena所在账户）
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-cross-region-bucket/*"
    }
  ]
}

Athena账户（Account A）的Terraform配置 #

# Terraform示例：创建带查询结果配置的Athena工作组
resource "aws_athena_workgroup" "example" {
  name = "cross_account_athena"
  configuration {
    result_configuration {
      output_location = "s3://my-athena-query-results-bucket/"
    }
  }
}

问题解答 #

1. Athena是否原生支持通过PrivateLink查询跨账户、跨地域的S3存储桶？ #

Athena本身不直接处理PrivateLink路由逻辑，但可通过VPC环境配置实现：将Athena工作组关联到已部署S3 VPC终端节点的VPC，确保终端节点策略允许访问目标跨账户S3桶，同时配置正确的网络路由（路由表指向S3终端节点），即可让Athena查询流量通过PrivateLink访问跨账户跨地域的S3桶。

2. 是否需要配置Athena（或使用Glue数据目录时配置Glue）以识别VPC终端节点？ #

• Athena侧：需将工作组关联到包含S3 VPC终端节点的VPC，启用EnforceWorkGroupConfiguration，同时确保查询结果桶可通过PrivateLink访问（或允许公网访问，推荐统一用PrivateLink）。
• Glue数据目录侧：Glue无需额外配置识别VPC终端节点，但需确保Glue爬虫（若使用）能通过VPC访问S3桶，且Account A的IAM角色具备读取Glue表元数据的权限；跨账户访问Glue表时，需在Glue中配置资源共享或通过IAM策略授权。

3. 该配置存在哪些限制或注意事项？ #

• 地域相关限制：
  • S3 VPC终端节点是区域级资源，Account A的VPC所在区域需创建对应S3终端节点（即使目标桶在其他区域），S3 PrivateLink支持跨地域访问，但终端节点必须部署在请求发起的VPC所在区域。
  • Athena查询结果桶必须与Athena处于同一区域，跨地域会触发报错。
• 权限细节：
  • 当前S3桶策略仅授权s3:GetObject，需补充s3:ListBucket权限，否则Athena无法列出桶内对象确定查询范围，会出现权限不足错误。
  • Account A中执行查询的IAM角色，需同时具备访问目标S3桶的IAM策略权限、Athena查询相关权限（如athena:StartQueryExecution），不能仅依赖桶策略的跨账户授权。
  • S3 VPC终端节点策略需明确允许Account A的IAM角色访问目标跨账户桶，否则终端节点会拦截流量。
• 其他注意事项：
  • 需确保VPC启用enableDnsSupport和enableDnsHostnames，否则S3终端节点无法正常解析。
  • 跨地域S3访问会产生额外数据传输费用，需提前评估成本。

内容的提问来源于stack exchange，提问作者jipot