创建AWS Glue爬虫时遇访问拒绝错误，寻求技术协助

• 检查IAM角色的信任策略
  确认角色的信任策略允许Glue服务扮演该角色，这是Glue使用角色的前提。正确的信任策略示例：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "glue.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

  若信任策略配置错误，Glue无法获取角色权限，会直接触发访问拒绝。

• 验证S3桶的权限限制
  即使IAM角色拥有AmazonS3FullAccess，S3桶自身的桶策略或**访问控制列表（ACL）**可能存在拒绝规则，或者跨账号场景下未获得桶侧的授权。检查桶策略是否明确允许该IAM角色执行s3:GetObject、s3:ListBucket等必要操作，排除桶级别的权限拦截。

• 核对爬虫数据源路径
  确认爬虫指向的S3路径拼写正确、路径实际存在。若路径错误或角色无权限访问目标路径（比如跨账号桶未配置双向授权），也会返回访问拒绝错误。

• 排查角色关联与临时凭证问题
  尝试在Glue控制台重新选择IAM角色，确保角色与爬虫正确关联；或者直接重新创建IAM角色后再绑定爬虫，避免临时凭证异常导致的权限失效。

• 通过CloudTrail定位具体权限缺失
  登录CloudTrail控制台，搜索对应时间的拒绝事件，查看被拒绝的API调用详情。比如可能缺少glue:CreateCrawler、glue:UpdateDatabase等细分权限，虽然AWSGlueServiceRole应该包含这些，但日志能精准定位遗漏项。

内容的提问来源于stack exchange，提问作者Aman Raheja