编辑组织级CloudTrail部署的S3存储桶策略遇权限问题求助

一、先解决桶策略无法编辑的问题 #

即便使用日志账户的完整管理员角色，仍可能因以下原因无法保存桶策略：

• 检查Block Public Access设置：
  1. 进入S3控制台，找到目标日志桶，查看「权限」标签下的「Block Public Access」配置。
  2. 如果开启了「Block public access to buckets and objects granted through bucket policies」，且你要添加的策略存在公共访问规则（哪怕是误配置），就会触发冲突。但你是要授权Athena，所以更大概率是Control Tower的SCP限制。
• 检查组织级SCP：
  Control Tower部署的资源受组织级服务控制策略（SCP）约束。登录根账户的AWS Organizations控制台，查看是否有SCP限制了s3:PutBucketPolicy权限。若存在，需调整SCP规则，允许日志账户执行该操作。
• 确认桶所有权：
  日志桶由Control Tower在根账户部署，所有权可能属于根账户。进入桶的「权限」标签下的「Object Ownership」，若开启了「Bucket owner enforced」，需确保桶策略中的主体是日志账户的合法角色（如Athena执行角色），而非未授权的外部实体。

二、解决Athena查询权限被拒的问题 #

能正常编辑桶策略后，按以下步骤配置授权：

• 给日志S3桶添加授权策略：
  编写桶策略，允许Athena执行角色（或你用来运行查询的管理员角色）访问CloudTrail日志路径。示例策略如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::LOGGING_ACCOUNT_NUMBER:role/你的Athena执行角色ARN"
        },
        "Action": [
          "s3:GetObject",
          "s3:ListBucket"
        ],
        "Resource": [
          "arn:aws:s3:::BUCKET_NAME",
          "arn:aws:s3:::BUCKET_NAME/PREFIX/AWSLogs/LOGGING_ACCOUNT_NUMBER/CloudTrail/*"
        ]
      }
    ]
  }
  

• 确认Athena角色权限：
  确保你使用的角色（管理员角色或Athena执行角色）拥有：
  • athena:StartQueryExecution、athena:GetQueryResults等Athena核心操作权限
  • 对日志桶的s3:GetObject、s3:ListBucket权限，以及对查询结果桶的s3:PutObject权限
• 验证CloudTrail日志路径匹配：
  检查Athena表定义中的S3路径是否与实际日志存储路径完全一致，路径错误也可能触发类权限报错。

内容的提问来源于stack exchange，提问作者Tegue Morrison