QuickSight是否需要访问Athena查询的S3存储桶？

首先，你的配置方式是完全合理且符合AWS服务预期行为的，之所以需要给QuickSight直接授权原始S3存储桶，核心原因在于Athena的权限执行逻辑：

Athena本身是无状态的查询引擎，它并不缓存或代理原始数据——当QuickSight调用Athena执行查询时，Athena会使用QuickSight的IAM服务角色来完成整个查询流程，包括：

1. 从Glue Data Catalog读取表的元数据
2. 直接访问原始S3存储桶获取数据
3. 将查询结果写入指定的S3结果桶

这意味着QuickSight的角色必须同时具备这三类操作的权限，而不仅仅是访问Athena和结果桶的权限。你之前的误解可能是以为Athena会用自身权限去访问S3，但实际上Athena是调用者权限传递的模式，依赖发起查询的身份（也就是QuickSight的角色）来提供所有必要的权限。

如何减少新增存储桶时的重复授权工作？ #

每次手动给新桶加权限确实繁琐，你可以通过以下方式优化：

• 使用IAM策略通配符：如果你的原始数据桶有统一的命名规则（比如report-data-*），可以在QuickSight的IAM角色策略中添加针对该前缀的S3读权限，示例如下：

  {
      "Effect": "Allow",
      "Action": [
          "s3:GetObject",
          "s3:ListBucket"
      ],
      "Resource": [
          "arn:aws:s3:::report-data-*",
          "arn:aws:s3:::report-data-*/*"
      ]
  }
  

  这样所有符合前缀的新桶都会自动获得权限，无需手动更新策略。
• 统一管理S3桶策略：如果你的桶数量较多，也可以在S3桶侧配置桶策略，直接授予QuickSight角色访问权限，避免修改IAM角色策略的操作。

明确需要授权的存储桶范围 #

根据你的架构，QuickSight的IAM角色至少需要访问以下资源：

• 所有存储原始业务数据的S3桶（包括桶本身和桶内的对象路径）
• Athena查询结果存储桶（即你已授权的aws-athena-query-results-*系列桶）
• Glue Data Catalog的相关资源（需要glue:GetDatabase、glue:GetTable等权限，确保能读取表的Schema信息）

如果后续使用Athena的联邦查询、分区投影等高级功能，可能还需要补充对应服务的权限，但基础报表场景下上述三类资源就足够了。

内容的提问来源于stack exchange，提问作者Tyler Nielsen