使用Athena查询S3日志桶时遭遇权限拒绝问题求助

安全阿岳

2026-8-2

解决Athena查询CloudTrail日志S3桶时的权限拒绝问题

问题分析

当前S3日志桶的策略仅授权了cloudtrail.amazonaws.com和config.amazonaws.com服务的相关操作，但未允许Athena（或执行Athena查询的IAM实体）访问桶内日志对象及列出桶内容，这是导致Permission denied错误的核心原因。

解决方案

1. 为执行Athena查询的IAM实体添加权限

确保你用来运行Athena查询的IAM用户/角色拥有以下S3权限（通过IAM策略配置）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::<our bucket name>",
                "arn:aws:s3:::<our bucket name>/<prefix>/AWSLogs/*"
            ]
        }
    ]
}

2. 更新S3桶策略，添加Athena访问权限

在现有桶策略中新增以下Statement，授权指定IAM实体访问日志桶：

{
    "Sid": "AllowAthenaAccessToCloudTrailLogs",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<日志账号ID>:role/<你的Athena执行角色ARN>"
    },
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::<our bucket name>",
        "arn:aws:s3:::<our bucket name>/<prefix>/AWSLogs/*"
    ]
}

若需允许日志账号内所有IAM实体访问，可将Principal改为{"AWS": "arn:aws:iam::<日志账号ID>:root"}，但推荐遵循最小权限原则，指定具体的Athena执行角色。
保留原有桶策略中的AllowSSLRequestsOnly规则，确保所有访问均通过HTTPS传输。