启动Glue Notebook服务器失败且创建Glue Studio Jupyter Notebook作业时遇IAM角色权限错误

问题分析与解决步骤 #

你遇到的InvalidInputException和“Failed to start Glue Notebook server”问题，核心原因是你的IAM角色arn:aws:iam::role/AWSGlueServiceNotebookRoleDefault没有配置允许Glue服务扮演它的信任关系——也就是Glue服务无法通过这个角色获取权限执行操作，这是启动Notebook服务器的必要前提，和你附加的权限策略（比如AWSGlueServiceRole）是两回事。

1. 修复角色的信任关系 #

这是最关键的一步，操作如下：

• 打开AWS IAM控制台，找到AWSGlueServiceNotebookRoleDefault角色
• 切换到信任关系标签页，点击“编辑信任政策”
• 将现有内容替换为以下JSON（确保允许Glue服务假设该角色）：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "glue.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

• 保存政策，然后重新尝试启动Glue Notebook

2. 验证角色配置的其他细节 #

• 检查角色ARN是否完整：你提供的ARNarn:aws:iam::role/AWSGlueServiceNotebookRoleDefault缺少了AWS账号ID（格式应该是arn:aws:iam::123456789012:role/AWSGlueServiceNotebookRoleDefault），确认是否是输入时的遗漏，确保使用的是正确的角色ARN。
• 关于你附加的策略：AWSGlueServiceRole、AWSGlueServiceNotebookRole、AWSGlueConsoleFullAccess这三个策略已经覆盖了Glue Notebook的核心权限，没问题；但AmazonS3FullAccess权限过于宽泛，建议后续根据你的Notebook实际需要访问的S3桶，创建自定义权限策略来缩小范围，遵循最小权限原则。

3. 若问题仍存在的额外排查 #

如果修复信任关系后还是失败，可以尝试：

• 删除现有角色，重新创建一个Glue专用角色：创建时选择“Glue”作为可信服务，再手动附加需要的权限策略，避免手动编辑信任关系时出现错误。
• 检查AWS区域是否一致：确保你创建Glue作业的区域和IAM角色所在的区域相同。

内容的提问来源于stack exchange，提问作者abd