Apache Superset对接AWS Athena：按用户角色设置工作组

原生Superset的Athena连接器确实没提供直接动态指定工作组的功能，但可以通过自定义扩展实现，以下是具体可落地的方法：

1. 修改Athena连接器源码，基于用户上下文动态设置工作组 #

Superset的数据库连接器能访问当前用户的上下文（用户名、角色），你可以修改Athena引擎的代码逻辑，在创建连接时自动映射对应的工作组：

• 找到Superset中Athena引擎的代码文件（通常在superset/db_engine_specs/athena.py路径下）
• 调整get_sqlalchemy_engine方法，加入用户-工作组的映射逻辑：

from superset.security import security_manager

def get_sqlalchemy_engine(self, database, schema=None):
    # 获取当前登录用户
    current_user = security_manager.current_user
    # 自定义用户名/角色到工作组的映射
    workgroup_map = {
        "data_admin": "admin_workgroup",
        "business_analyst": "analyst_workgroup",
        "viewer": "readonly_workgroup"
    }
    # 匹配不到则用默认工作组
    target_workgroup = workgroup_map.get(current_user.username, "default_workgroup")
    # 构建带工作组参数的Athena连接URL
    conn_url = f"awsathena+rest://:@athena.{database.extra.get('region_name')}.amazonaws.com:443/{database.extra.get('catalog_name', 'awsdatacatalog')}?work_group={target_workgroup}"
    return create_engine(conn_url)

2. 通过数据库Extra配置实现无源码修改的动态映射 #

不想改源码的话，可以在Superset的数据库配置里添加自定义映射规则，再通过钩子函数读取应用：

• 在数据库的「Extra」配置栏中填入JSON格式的映射：

{
  "workgroup_mapping": {
    "data_admin": "admin_workgroup",
    "business_analyst": "analyst_workgroup"
  },
  "default_workgroup": "default_workgroup"
}

• 扩展Athena引擎规范，在初始化连接时读取该配置，根据当前用户角色/用户名匹配工作组

3. 结合RLS强化权限与追踪（可选） #

如果需要同步管控数据访问权限，可以把Superset的行级安全（RLS）规则和工作组绑定，确保特定角色用户只能使用对应工作组，既实现权限控制，也能更清晰地在CloudTrail中追踪用户操作。

验证效果 #

修改完成后，用户在Superset执行的查询会自动关联到对应的Athena工作组，CloudTrail日志会正常记录工作组信息，你可以继续用原有的方式生成数据消耗报表，通过工作组和预设的映射关系追溯到具体用户。

注意：修改源码后需要重新部署Superset，记得做好版本备份，避免后续升级覆盖自定义逻辑；如果用的是商业版Superset，也可以联系官方支持定制连接器扩展。

内容的提问来源于stack exchange，提问作者CleideV