创建Glue Crawler失败求助：配置相关IAM权限仍报错

一、排查Lake Formation权限限制 #

如果你的AWS账号启用了Lake Formation，即使拥有S3和Glue的全权限，也可能因Lake Formation的细粒度控制导致创建失败：

• 确认目标S3存储桶是否已注册到Lake Formation：进入Lake Formation控制台，在Data locations中检查是否存在该桶的注册记录，若未注册，点击Register location完成注册。
• 给Glue服务角色分配Lake Formation权限：在Lake Formation控制台的Permissions > Grant permissions中，选择该角色，授予以下权限：
  • 对目标S3数据位置的SELECT和ALTER权限
  • 对Crawler要关联的数据库的CREATE TABLE权限

二、验证SSE-S3加密相关配置 #

SSE-S3使用AWS托管密钥，默认无需额外KMS权限，但仍需检查以下点：

• 检查S3桶策略：确认桶策略中没有拒绝Glue服务角色访问的Deny语句，比如是否限制了特定IP或未授权服务的访问。
• 确认Glue服务角色的信任策略：必须允许Glue服务扮演该角色，示例信任策略如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "glue.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

三、检查IAM权限冲突 #

• 查看Glue服务角色的所有附加策略，确认是否存在Deny权限覆盖了AmazonS3FullAccess、AWSGlueServiceRole等托管策略的允许权限。
• 使用IAM控制台的Access Advisor功能，查看该角色对S3、Glue服务的有效权限，确认是否存在权限缺失。

四、其他基础排查项 #

• 确认目标S3桶的路径输入正确：S3桶名必须为小写，路径不存在也会导致报错。
• 检查区域一致性：Glue Crawler和目标S3桶必须处于同一AWS区域。
• 查看CloudTrail日志：在CloudTrail控制台中搜索CreateCrawler操作，查看具体的错误详情（如AccessDenied对应的资源或权限项），这是定位问题最精准的方式。

内容的提问来源于stack exchange，提问作者NicholasHenrique