amazon-web-services - 如何确保 Athena 结果 S3 对象具有bucket-owner-full-control

Question

我们(账户 A)想使用编程方式在不同的 aws 账户(账户 B)中触发雅典娜查询(startQueryExecution)，我们使用代入角色来实现它。 athena 查询完成后，我们期望结果应该写入我们的 aws 帐户 s3 存储桶(帐户 A)。我们设法通过设置双方 IAM 策略来允许 B 写入 A 的 S3 存储桶。

但是，帐户 A 中的 S3 对象似乎仍归帐户 B 所有，帐户 A 中的用户/角色无权访问这些对象。

我在想任何一种方法来解决这个问题，但我找不到任何如何做的例子

以某种方式确保 athena 使用 acl = bucket-owner-full-control 写入 s3
创建对象后，以某种方式将 s3 对象 acl 更改为存储桶所有者完全控制

任何的想法？

Answer 1

@user273098 很想知道你是如何找到答案的

Athena 当前不提供指定 ACL 的功能。但是，有两种解决方法是可能的

不是让账户 A 承担账户 B 中的角色，而是让账户 B 授予账户 A 的账户根/角色对账户 B 的 Athena 的访问权限。那么账户A就可以使用自己的角色/账户在账户B中查询数据，结果仍然可以被账户A访问，因为账户A是对象所有者。

让 S3 流式 lambda 监听输出 S3 存储桶。一旦对象进来，使用 SetObjectACL授予存储桶所有者对对象的完全控制权。