AWS Athena查询报错：无法验证/创建输出桶root-bucket-name

问题原因 #

Athena执行查询前，会先验证输出目标S3桶的存在性和基础配置——哪怕你指定了子路径s3://root-bucket-name/athena/data，它也需要先访问根桶root-bucket-name来获取桶的位置信息或确认桶存在。这一步需要根桶的基础权限，而你当前的权限仅覆盖子路径，因此触发报错。

解决方案 #

• 补充根桶的最小必要权限：无需给根桶全权限，只需添加针对根桶的以下两个操作权限，资源指定为arn:aws:s3:::root-bucket-name：

  "Action": [
      "s3:GetBucketLocation",
      "s3:ListBucket"
  ],
  "Resource": "arn:aws:s3:::root-bucket-name",
  "Effect": "Allow"
  

  这两个权限仅用于Athena验证桶的合法性，不会赋予你根桶的读写权限。

• 更换输出桶：如果无法获取根桶的基础权限，建议更换到你拥有完整根桶权限的S3桶作为Athena输出位置；或者联系管理员创建一个专门用于Athena输出的独立桶，并给你该桶的全权限（包括根桶和子路径）。

• 检查路径配置：确认Athena控制台或查询语句中指定的输出路径格式正确，没有桶名大小写、子路径拼写等错误。

内容的提问来源于stack exchange，提问作者javaDeveloper