Lake Formation跨账号共享异常：目标账号无法查看共享数据库

以下是针对你遇到的问题的具体排查方向和解决方法：

1. Lake Formation权限覆盖了IAM管理员权限 #

Lake Formation的权限模型优先级高于IAM，即使你使用管理员账号，若Lake Formation未明确给该账号授予目标数据库的访问权限，仍会被拒绝。

• 操作：在账号B的Lake Formation控制台进入「权限->数据湖权限」，添加你的管理员用户/角色，直接授予ingest数据库的Super权限。

2. RAM共享后Lake Formation元数据未同步 #

RAM接受共享请求后，Lake Formation的元数据同步可能存在延迟，导致数据库列表不显示。

• 操作：
  • 在账号B的Lake Formation「数据目录->数据库」页面点击右上角「刷新」；
  • 用AWS CLI执行aws lakeformation list-databases命令，强制拉取最新共享数据。

3. Glue数据目录跨账号权限缺失 #

Lake Formation依赖Glue数据目录，源账号仅在Lake Formation授权限不够，需确保Glue层面给目标账号开放权限。

• 操作：在账号A的Glue控制台进入ingest数据库的权限设置，添加目标账号的ARN（如arn:aws:iam::账号BID:root），授予glue:GetDatabase权限。

4. IAM管理员策略存在隐性限制 #

部分管理员IAM策略可能通过条件语句限制了跨账号资源访问，即使IAM模拟器测试通过也需排查。

• 操作：检查管理员IAM策略中是否有针对lakeformation:*或glue:*操作的Condition限制，例如限制资源账号为当前账号的语句，若有则调整或移除该条件。

5. Lake Formation资源链接创建异常 #

跨账号共享数据库时会自动创建资源链接，若创建失败会导致数据库无法正常访问。

• 操作：在账号B的Lake Formation控制台进入「数据目录->资源链接」，检查是否存在对应ingest数据库的资源链接；若无则手动创建，同时给管理员账号授予该资源链接的访问权限。

内容的提问来源于stack exchange，提问作者techrs