AWS根账户无法查询Athena表，如何授予其对应权限？

1. 检查Glue Catalog资源策略 #

Glue的资源策略可能限制了根账户对目标表的访问——即便根账户默认拥有全域权限，若策略中未明确允许或存在拒绝规则，也会触发权限问题。

• 登录AWS Glue控制台，进入设置 > 资源策略
• 查看现有策略是否包含针对目标数据库/表的限制，若需开放权限，可添加以下策略片段（替换占位符为实际信息）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::[你的账户ID]:root"
      },
      "Action": [
        "glue:GetTable",
        "glue:GetDatabase",
        "glue:GetPartition"
      ],
      "Resource": [
        "arn:aws:glue:[区域ID]:[你的账户ID]:database/[目标数据库名]",
        "arn:aws:glue:[区域ID]:[你的账户ID]:table/[目标数据库名]/[目标表名]"
      ]
    }
  ]
}

2. 验证底层S3存储权限 #

Athena查询依赖对表对应S3数据的访问权限，即便Glue权限正常，S3权限不足也会导致查询失败。

• 登录S3控制台，定位到表对应的存储桶，进入权限 > 桶策略
• 确认桶策略中允许根账户执行s3:GetObject和s3:ListBucket操作；若无桶策略，根账户默认拥有全权限，但可检查对象ACL是否存在异常（IAM用户创建的对象默认私有，根账户应能访问）

3. 检查Athena工作组权限 #

若使用自定义Athena工作组，其权限策略可能限制根账户的查询操作：

• 登录Athena控制台，进入工作组，选择当前使用的工作组
• 查看权限标签，确认根账户拥有athena:StartQueryExecution、athena:GetQueryResults等核心查询权限

4. 排查组织SCP限制（若适用） #

如果你的AWS账户属于组织单元，服务控制策略（SCP）可能限制了根账户的操作范围：

• 登录AWS Organizations控制台，查看已生效的SCP，确认未针对Athena、Glue或S3设置限制根账户的规则

额外提醒 #

• 遵循AWS最佳实践，尽量避免使用根账户执行日常操作，优先使用IAM管理员角色
• 修改权限策略后，等待2-5分钟让配置生效，再尝试查询表

内容的提问来源于stack exchange，提问作者Harvesting Data