AWS Lake Formation关联资源权限授予不生效问题求助

针对跨账户Lake Formation资源链接授权不生效的问题，从以下几个方向逐一排查：

1. 验证资源链接的创建正确性 #

• 确认生产者账户是否将数据库共享给消费者账户的Data Lake Administrator角色（admin-role），而非仅共享给消费者账户本身。若仅共享给账户，消费者账户内的角色无法通过资源链接访问该数据库。
• 检查资源链接的配置：
  • 共享数据库名称必须与生产者账户中的数据库名完全一致（含大小写）
  • 共享数据库的所有者ID需准确填写生产者账户ID
  • 若生产者数据库未在资源链接的可选列表中，说明生产者的共享配置未生效，需先在生产者账户确认共享操作已完成（可通过生产者账户Lake Formation的「共享」面板查看目标消费者账户/角色的共享记录）

2. 补全层级权限 #

Lake Formation权限遵循层级依赖，授予表权限前需先授予对应资源链接数据库的基础权限：

• 先给business-role授予资源链接数据库的Describe权限：
  在控制台：数据湖权限>授予>选择business-role>数据库：选择database_link>数据库权限：Describe>授予
• 再执行表权限的授予操作，此时权限记录才会正常显示

3. 修正CLI命令中的CatalogId配置 #

使用CLI授予表权限时，资源的CatalogId需指定生产者账户ID（因为实际表存储在生产者账户的目录中），修正后的JSON示例：

{
    "CatalogId": "consumer-account-id",
    "Principal": {
        "DataLakePrincipalIdentifier": "arn:aws:iam::consumer-account-id:role/business-role"
    },
    "Resource": {
        "Table": {
            "CatalogId": "producer-account-id", // 此处改为生产者账户ID
            "DatabaseName": "生产者数据库名",   // 改为生产者侧的实际数据库名
            "TableWildcard": {}
        }
    },
    "Permissions": [
        "SELECT",
        "DESCRIBE"
    ],
    "PermissionsWithGrantOption": []
}

4. 检查Lake Formation权限控制模式 #

确认消费者账户的Lake Formation设置是否启用了仅Lake Formation权限控制：

• 进入Lake Formation控制台>设置>数据目录设置
• 若「对新数据库使用IAM访问控制」或「对新表使用IAM访问控制」处于启用状态，需关闭（或针对现有资源手动切换权限控制模式），否则IAM权限会覆盖Lake Formation的授权，导致控制台无权限记录。

5. 验证角色与权限主体的正确性 #

• 确认business-role的ARN无拼写错误（账户ID、角色名大小写需完全匹配）
• 检查business-role是否存在IAM拒绝策略，若有拒绝Lake Formation相关操作的策略，会导致权限不生效

6. 刷新控制台与重试权限查询 #

• 控制台权限列表可能存在缓存，尝试刷新页面后重新搜索business-role
• 使用CLI命令aws lakeformation list-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::consumer-account-id:role/business-role直接查询，确认是否有返回结果

内容的提问来源于stack exchange，提问作者TechNewbie