如何让AWS Athena访问存储CloudFront标准日志的S3桶？

问题核心原因 #

只给athena.amazonaws.com服务主体授权没用，Athena实际是通过你的Athena执行角色去访问S3桶的，服务主体只是触发请求的入口，真正的权限校验对象是执行角色。另外要确保桶策略覆盖CloudFront日志的默认存储前缀AWSLogs/，否则权限范围不足也会报错。

Terragrunt桶策略修改方案 #

假设你通过Terragrunt调用S3模块管理桶，直接在terragrunt.hcl的inputs里更新桶策略即可，以下是完整配置示例：

inputs = {
  bucket_name = "your-cloudfront-logs-bucket" # 替换为你的实际桶名
  bucket_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      # 保留CloudFront日志投递权限，请勿删除
      {
        Sid = "AllowCloudFrontLogDelivery"
        Effect = "Allow"
        Principal = {
          Service = "cloudfront.amazonaws.com"
        }
        Action = "s3:PutObject"
        Resource = "arn:aws:s3:::your-cloudfront-logs-bucket/AWSLogs/*"
        Condition = {
          StringEquals = {
            "AWS:SourceArn" = "arn:aws:cloudfront::123456789012:distribution/your-distribution-id" # 替换为你的CloudFront分发ARN
          }
        }
      },
      # 新增Athena执行角色的访问权限
      {
        Sid = "AllowAthenaQueryAccess"
        Effect = "Allow"
        Principal = {
          AWS = "arn:aws:iam::123456789012:role/your-athena-execution-role" # 替换为你的Athena执行角色ARN
        }
        Action = [
          "s3:GetObject",
          "s3:ListBucket"
        ]
        Resource = [
          "arn:aws:s3:::your-cloudfront-logs-bucket",
          "arn:aws:s3:::your-cloudfront-logs-bucket/AWSLogs/*"
        ]
      }
    ]
  })
}

关键修改点 #

• 替换Athena角色ARN：去IAM控制台找到你用于执行Athena查询的角色，将其ARN填入Principal.AWS字段，这是解决权限问题的核心，之前仅授权服务主体无法生效。
• 覆盖完整资源范围：同时授权桶本身（用于ListBucket操作）和AWSLogs/*前缀下的所有对象，匹配CloudFront日志的存储路径。
• 保留CloudFront投递权限：不要删除原有允许CloudFront写入日志的策略，避免日志投递中断。

额外检查项 #

• 确认Athena执行角色本身拥有S3只读权限（比如附加AmazonS3ReadOnlyAccess策略，或针对该日志桶的自定义读权限），桶策略是资源端授权，角色端也需要对应权限才能完成访问。
• 检查Athena外部表的LOCATION配置是否正确指向s3://your-cloudfront-logs-bucket/AWSLogs/，路径错误也会触发类似权限报错的提示。

内容的提问来源于stack exchange，提问作者Kristi Jorgji