使用IAM profiles/ephemeral credentials通过DBeaver查询AWS Athena失败

前置检查 #

• 确保本地AWS配置文件（~/.aws/credentials 或 ~/.aws/config）已配置对应IAM Profile，临时凭证处于有效未过期状态。如果使用AWS SSO/角色切换生成凭证，需先完成aws sso login或assume role操作刷新本地凭证。

连接配置调整 #

1. 常规选项卡配置 #

• 用户名、密码字段保持为空，符合无长期IAM用户的安全要求
• 填写对应AWS区域，如cn-northwest-1、us-east-1
• 填写Athena查询结果存储的S3路径，格式为s3://<你的存储桶名>/<结果前缀>/

2. 驱动属性选项卡配置（核心解决凭证类加载报错） #

添加以下自定义驱动参数：

• 添加参数aws_credentials_provider_class，值根据场景二选一：
  • 仅使用本地指定Profile的场景：填com.amazonaws.auth.profile.ProfileCredentialsProvider
  • 需要走默认凭证链（自动匹配环境变量、本地Profile、实例角色等凭证来源）的场景：填com.amazonaws.auth.DefaultAWSCredentialsProviderChain
• 若指定了ProfileCredentialsProvider，额外添加参数aws_profile，值为你本地已配置的IAM Profile名称，如dev-work-profile

异常兜底处理 #

如果仍提示凭证类加载失败：

• 在DBeaver驱动管理界面找到Athena驱动，右键选择「更新」升级到最新正式版本，避免旧驱动缺失AWS SDK相关类
• 排查本地AWS配置文件的语法错误，可在终端执行aws sts get-caller-identity --profile <你的profile名>验证凭证有效性

注：临时凭证过期后，只需在终端刷新对应AWS Profile的凭证即可，无需修改DBeaver连接配置。

内容的提问来源于stack exchange，提问作者John Humphreys