同一S3存储桶内Parquet文件加载至Snowflake出现权限异常问题

Parquet文件本身没有内置的特殊权限规则，你遇到的报错和文件格式、编码无关，是S3对象级别的权限配置差异导致的，核心原因如下：

• S3对象所有权/ACL不匹配：AWS服务（如Athena、EMR、Glue等直接生成Parquet的服务）生成对象时，如果没有显式指定ACL配置，默认的对象所有者为生成该文件的服务关联角色，而非存储桶所属的AWS账号主体，Snowflake关联的IAM角色仅获得了存储桶层级的访问权限，没有该对象的读取权限，因此返回access denied。你将文件下载到本地后重新上传时，上传操作用的是属于桶账号体系下的身份，新上传的对象默认所有者为桶所属账号，且继承桶的默认ACL配置，因此Snowflake可以正常读取。
• KMS解密权限缺失：如果AWS生成文件时使用了服务默认托管KMS密钥或特定自定义KMS密钥，而Snowflake关联的IAM角色没有该密钥的kms:Decrypt权限，也会触发访问拒绝报错。你重新上传时会沿用存储桶的默认加密配置，对应的密钥Snowflake角色已经提前配置了解密权限，因此可以正常加载。
• 对象级权限限制残留：部分AWS服务生成文件时会附加特殊的访问控制条件、标签限制，导致Snowflake的访问请求被S3策略拦截，重新上传后这些额外的限制配置会被清空。

你可以通过以下配置避免后续同类问题：

1. 开启S3存储桶的「桶所有者强制（Bucket Owner Enforced）」功能，所有写入该桶的对象默认所有权归桶账号，自动继承存储桶的权限配置。
2. 在AWS服务的输出配置中，显式指定对象ACL为bucket-owner-full-control，确保生成的文件直接归属桶账号所有。
3. 给Snowflake关联的IAM角色添加所有生成文件会用到的KMS密钥的解密权限。

内容的提问来源于stack exchange，提问作者jpf5046