配置跨账户跨区域Athena输出位置遇存储桶验证错误

我正尝试配置AWS Athena，将查询结果写入位于另一个AWS账户且不同区域的S3存储桶，但收到Unable to verify/create output bucket错误。

• AWS账户A：Athena运行于eu-west-3区域
• AWS账户B：S3存储桶位于eu-central-1区域（同属一个组织）
• 两个账户已配置合适的跨账户权限

• 验证S3存储桶策略允许跨账户访问
• 确认IAM权限包含所有必要的S3操作（GetBucketLocation、PutObject等）
• 跨账户访问其他账户/区域的数据读取功能正常

AWS Athena是否支持同时将输出位置设置为跨账户且跨区域的S3存储桶？

我能找到关于跨账户访问和跨区域查询的单独文档，但没有明确说明两者结合用于查询结果输出位置的情况。

Unable to verify/create output bucket

AWS Athena支持将查询结果写入跨账户且跨区域的S3存储桶，但需满足额外配置要求，你的错误大概率源于区域相关权限缺失或桶策略限制。

关键配置补充： #

1. 完善S3桶策略
   在账户B的目标S3桶策略中，除授权账户A的IAM实体访问外，需确保策略未限制请求来源区域，且显式包含s3:GetBucketLocation权限——Athena验证桶时会先调用该接口确认区域，此步骤失败会直接触发报错。

2. 调整Athena执行角色权限
   账户A中Athena使用的执行IAM角色，权限策略需明确允许对跨区域目标桶的操作，且不要添加区域限制条件。示例权限片段：

   {
     "Effect": "Allow",
     "Action": [
       "s3:GetBucketLocation",
       "s3:PutObject",
       "s3:PutObjectAcl"
     ],
     "Resource": [
       "arn:aws:s3:::目标桶名称",
       "arn:aws:s3:::目标桶名称/*"
     ]
   }
   

3. 排查特殊配置与限制

   • 确认目标S3桶未启用区域锁定等特殊设置
   • 检查AWS组织内是否有服务控制策略（SCP）限制跨区域S3操作

4. 验证基础访问性
   使用账户A的Athena执行角色，通过AWS CLI测试跨区域S3操作，例如：

   aws s3api get-bucket-location --bucket 目标桶名称 --region eu-central-1
   

   若此命令失败，说明权限配置仍存在问题，需进一步排查。

内容的提问来源于stack exchange，提问作者Mitsukk