Amazon Q for Business无法连接Amazon S3数据源问题求助

• 检查S3存储桶策略
  确认存储桶的资源策略已授权Amazon Q服务访问：

  • 策略中Principal需包含service:qbusiness.amazonaws.com
  • 需授予s3:ListBucket（针对桶ARN）和s3:GetObject（针对桶内对象ARN，如arn:aws:s3:::your-bucket/*）权限
  • 避免策略中有明确的拒绝语句覆盖允许权限

• 验证IAM角色配置

  • 给Amazon Q的IAM角色，其信任策略必须包含qbusiness.amazonaws.com作为可信实体
  • 角色的权限策略需明确允许访问目标S3桶，且无权限边界、会话策略等限制该权限

• 确认区域一致性
  Amazon Q应用所在区域必须与S3存储桶的区域完全匹配，跨区域访问会导致连接失败

• 排查加密配置影响
  如果S3桶启用了KMS加密：

  • 需确保IAM角色拥有对应KMS密钥的kms:Decrypt和kms:GenerateDataKey权限
  • 检查KMS密钥的密钥策略是否允许该IAM角色访问

• 核对聊天界面数据源选择
  确认在聊天界面选择的是已完成配置的S3数据源，而非未配置完成的新建数据源

• 查看CloudWatch日志定位具体错误
  前往CloudWatch日志组（通常为/aws/qbusiness/your-app-id），搜索连接失败相关日志，根据具体错误信息（如权限拒绝、资源不存在）精准排查问题

内容的提问来源于stack exchange，提问作者Ritwik Mohapatra