AWS控制台可查Athena，Python调用遇AccessDeniedException权限问题求助

以下是你可能遗漏的几个关键环节：

• IAM权限不全
  虽然你确认了凭证正确，但athena:StartQueryExecution只是基础权限，还需要配套的其他权限才能完成完整的查询流程：

  • 允许向指定S3输出路径写入查询结果：s3:PutObject（资源需指定为s3://test_bucket/test/*）
  • 若你的表通过Glue数据目录管理，需添加glue:GetDatabase、glue:GetTable权限
  • 若底层数据源存储在S3，需添加s3:GetObject、s3:ListBucket权限（对应数据所在的S3桶）
    示例IAM策略片段：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "athena:StartQueryExecution",
              "Resource": "arn:aws:athena:us-west-2:你的账号ID:workgroup/primary"
          },
          {
              "Effect": "Allow",
              "Action": "s3:PutObject",
              "Resource": "s3://test_bucket/test/*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "glue:GetDatabase",
                  "glue:GetTable"
              ],
              "Resource": [
                  "arn:aws:glue:us-west-2:你的账号ID:database/database",
                  "arn:aws:glue:us-west-2:你的账号ID:table/database/tableCCC"
              ]
          }
      ]
  }
  

• IAM策略的资源范围限制
  检查你的IAM策略中，athena:StartQueryExecution的资源是否设置过窄，比如仅允许特定工作组，但代码默认使用primary工作组，或者策略中的ARN未匹配你的账号ID和区域。

• S3输出桶的权限冲突
  除了IAM用户的权限，还要确认S3桶的桶策略没有拒绝该用户的写入请求，或者桶的访问控制列表（ACL）未设置限制。

• SQL语法错误（潜在后续问题）
  你的SQL语句用单引号包裹数据库和表名是错误的，Athena要求用反引号（`）或者不用引号（名称无特殊字符时），正确写法：

  SELECT count(*) FROM `database`.`tableCCC`
  

  虽然当前报错是权限，但权限解决后这个语法错误会导致新的问题。

• 凭证优先级覆盖
  Boto3会按优先级加载凭证：环境变量 > ~/.aws/credentials文件 > 代码中指定的凭证。如果你的环境中存在其他凭证（比如环境变量里的），可能会覆盖代码中填写的凭证，导致使用了无权限的账号。可以通过以下代码验证当前使用的身份：

  import boto3
  sts_client = boto3.client('sts', aws_access_key_id="ABCD1234", aws_secret_access_key="dcba4321987")
  print(sts_client.get_caller_identity())
  

  确认返回的账号ID和你控制台操作的一致。

• 区域一致性检查
  确认代码中指定的us-west-2区域和你控制台操作的Athena区域完全一致，不同区域的AWS资源是隔离的。

内容的提问来源于stack exchange，提问作者TripleH