如何让拥有全权限的.NET Core应用向Athena发送只读请求？

1. 临时切换受限IAM角色（推荐） #

你的应用本身拥有全权限，但可以在处理用户自定义查询的代码分支中，通过AWS STS的AssumeRole API获取临时凭证，用这个受限角色执行用户查询，从根源上限制操作权限：

• 创建一个只读专用IAM角色，权限策略仅包含：
  • Athena只读操作：athena:StartQueryExecution、athena:GetQueryExecution、athena:GetQueryResults、athena:ListQueryExecutions
  • Glue只读权限：glue:GetDatabase、glue:GetTable、glue:GetPartition、glue:GetTables、glue:GetDatabases（按需限制到指定数据库/表）
  • S3只读权限：允许访问Athena查询结果存储桶的对应路径
• 给该角色添加权限边界，确保它无法突破权限限制（比如禁止iam:AddPermission等权限提升操作）
• 在.NET Core代码中，处理用户自定义查询时调用STS获取临时凭证，用凭证初始化Athena客户端：

  var stsClient = new AmazonSecurityTokenServiceClient();
  var assumeRoleRequest = new AssumeRoleRequest
  {
      RoleArn = "arn:aws:iam::123456789012:role/AthenaReadOnlyRole",
      RoleSessionName = "UserQuerySession"
  };
  var assumeRoleResponse = await stsClient.AssumeRoleAsync(assumeRoleRequest);
  
  var athenaClient = new AmazonAthenaClient(
      assumeRoleResponse.Credentials.AccessKeyId,
      assumeRoleResponse.Credentials.SecretAccessKey,
      assumeRoleResponse.Credentials.SessionToken);
  // 用这个athenaClient执行用户查询
  

2. 结合IAM条件键限制查询内容 #

直接在应用的IAM角色（或专用角色）的权限策略中，通过athena:QueryString条件键限制仅允许SELECT开头的查询：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "athena:StartQueryExecution",
            "Resource": "*",
            "Condition": {
                "StringMatches": {
                    "athena:QueryString": "^[Ss][Ee][Ll][Ee][Cc][Tt]\\s.*"
                },
                "NotContains": {
                    "athena:QueryString": ";"
                }
            }
        },
        // 加上必要的Athena、Glue、S3只读权限
    ]
}

这种方式无需修改太多代码，但要注意SQL的大小写和潜在的注入规避（比如用注释绕过开头检查），可以结合更严格的正则表达式增强防护。

3. 使用AWS Lake Formation（适合数据湖场景） #

如果你的Athena数据目录由Lake Formation管理，可以通过Lake Formation直接给应用角色赋予仅SELECT权限：

• 在Lake Formation控制台中，给目标数据库/表添加应用角色的SELECT权限
• 即使应用拥有Glue全权限，Lake Formation的细粒度数据权限会覆盖IAM权限，阻止DDL操作（如ALTER TABLE、DROP DATABASE）
• 这种方式无需修改代码，仅需配置数据权限，适合已有Lake Formation的场景

4. 只读工作组+Glue权限隔离 #

你之前提到的工作组方案可以结合Glue权限优化：

• 创建只读Athena工作组，并在IAM策略中限制应用仅能使用该工作组：

  "Condition": {"StringEquals": {"athena:WorkGroup": "readonly-workgroup"}}
  

• 给应用处理用户查询的角色仅赋予Glue只读权限（而非全权限），这样即使用户提交ALTER TABLE等DDL，会因Glue权限不足失败

内容的提问来源于stack exchange，提问作者KorsaR