AWS Glue受保护多方言视图在EMR集群中无法访问的问题

1. 验证视图创建者与所有者的权限一致性 #

• PROTECTED MULTI DIALECT VIEW的SECURITY DEFINER属性，会让视图执行时使用创建者/所有者的权限，而非当前访问用户权限。
• 确认创建视图的Glue Job执行角色，是否被设为视图所有者；同时检查该角色是否拥有视图底层所有表的访问权限（如SELECT、DESCRIBE）。

2. 检查Notebook执行角色的权限 #

• 确保SageMaker Notebook使用的IAM角色具备以下权限：
  • glue:GetTable：允许读取Glue Catalog中该视图的元数据
  • glue:GetPartition（若视图涉及分区表）
  • 针对PROTECTED视图，需确认角色是否被授予glue:AccessProtectedCatalog权限，或在资源级权限中明确允许访问该视图所在数据库及视图本身。

3. 验证视图定义的完整性与语法 #

• 直接在Glue控制台查看视图详情页的定义文本，确认未被篡改，且SQL语法符合Spark与Glue的兼容规范。
• 在Glue控制台查询编辑器中执行视图的定义SQL，验证能否正常创建并查询，排除语法问题。

4. 检查EMR集群的Spark FGAC配置 #

• EMR启用Fine-Grained Access Control（FGAC）时，需确认以下配置：
  • spark.sql.catalog.spark_catalog是否配置为标准Glue Catalog实现（或对应数据格式的Catalog，如Hudi）
  • spark.sql.warehouse.dir是否正确指向与Glue Catalog关联的S3路径
  • EMR版本是否支持PROTECTED MULTI DIALECT VIEW特性（建议使用EMR 6.9及以上版本）

5. 排查视图文本被REDACTED的原因 #

• 当用户无权限读取视图定义文本时，Glue Catalog会返回<REDACTED VIEW TEXT>，这说明当前Notebook执行角色没有读取视图定义的权限。
• 用IAM Policy Simulator验证Notebook角色对该视图的glue:GetTable权限，是否包含读取ViewOriginalText的权限，部分严格策略可能限制元数据读取范围。

6. 重新创建视图并指定明确所有者 #

• 若使用Glue 4.0+版本，可在创建视图时显式指定所有者：

CREATE OR REPLACE PROTECTED MULTI DIALECT VIEW risk_models_output.vw_behavior_special_limit_score
    SECURITY DEFINER
    OWNER TO `arn:aws:iam::123456789012:role/Glue-Job-Execution-Role`
    AS
        [query here...]

重新创建后测试访问，确保所有者权限覆盖视图底层资源的访问需求。

内容的提问来源于stack exchange，提问作者Paloma Raissa