为何SageMaker Studio中pd.read_csv可访问S3，Athena建库却失败？

核心逻辑差异 #

你能通过pd.read_csv读取公开S3桶的文件，是因为直接访问公开对象无需额外权限；但Athena执行任何操作（包括CREATE DATABASE）都需要指定输出桶存储查询结果和元数据，这个过程依赖IAM角色的权限，和读取公开桶的逻辑完全独立。

具体原因及解决步骤 #

1. 输出桶不存在且当前角色无创建权限 #

报错中的桶sagemaker-studio-458903497716-h2kl4ff3dz是Athena自动尝试创建的，但你的SageMaker执行角色缺少S3:CreateBucket权限：

• 手动在S3控制台创建该桶（注意桶名全局唯一，重名则换格式类似的名称）；
• 给当前IAM角色添加以下权限策略：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": ["s3:PutObject", "s3:GetObject", "s3:ListBucket"],
              "Resource": [
                  "arn:aws:s3:::sagemaker-studio-458903497716-h2kl4ff3dz",
                  "arn:aws:s3:::sagemaker-studio-458903497716-h2kl4ff3dz/*"
              ]
          }
      ]
  }
  

2. 输出桶存在但权限配置错误 #

若桶已存在，可能是Bucket Policy未允许Athena使用的角色写入，或桶开启了阻止公共访问且角色不在白名单：

• 检查桶的“阻止公共访问”设置，确保未完全拒绝所有访问；
• 给桶添加Bucket Policy，授权你的IAM角色访问：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Principal": {"AWS": "arn:aws:iam::458903497716:role/你的SageMaker角色名"},
              "Action": ["s3:*"],
              "Resource": [
                  "arn:aws:s3:::sagemaker-studio-458903497716-h2kl4ff3dz",
                  "arn:aws:s3:::sagemaker-studio-458903497716-h2kl4ff3dz/*"
              ]
          }
      ]
  }
  

3. Athena工作区输出位置配置错误 #

默认情况下Athena会关联SageMaker的桶，但可能配置失效：

• 在Athena控制台的“设置”中，手动指定一个你有权限的S3桶作为查询结果位置（格式如s3://你的已有桶/athena-output/）；
• 确保该桶的权限符合上述要求。

额外注意点 #

• 公开S3桶的读取权限不影响Athena输出桶的配置，两者完全独立；
• 若使用SageMaker Studio集成的Athena，需确保Studio执行角色同时拥有Athena和S3的相关权限；
• Athena和输出桶必须在同一AWS区域，跨区域会导致权限验证失败。

内容的提问来源于stack exchange，提问作者chongochoo