Доступ S3 запрещен при получении объектов из корзины CloudTrail S3 - PullRequest
Новая
       11

Доступ S3 запрещен при получении объектов из корзины CloudTrail S3

0 голосов
/ 11 января 2019

Я использую корзину Cloudtrail, чтобы делать запросы Athena, и я продолжаю получать эту ошибку: 

Your query has the following error(s):

com.amazonaws.services.s3.model.AmazonS3Exception: Access Denied (Service: Amazon S3; Status Code: 403; Error Code: AccessDenied; Request ID: A57070510EFFB74B; S3 Extended Request ID: v56qfenqDD8d5oXUlkgfExqShUqlxwRwTQHR1S0PmHpp7WH+cz0x8D2pPLPkRoGz2o428hmOV1U=), S3 Extended Request ID: v56qfenqDD8d5oXUlkgfExqShUqlxwRwTQHR1S0PmHpp7WH+cz0x8D2pPLPkRoGz2o428hmOV1U= (Path: s3://cf-account-foundation-cloudtrailstack-trailbucket-707522222211/AWSLogs/707522222211/CloudTrail/ca-central-1/2019/01/11/707522222211_CloudTrail_ca-central-1_20190111T0015Z_XE4JGGZLQTNS334S.json.gz)

This query ran against the "default" database, unless qualified by the query. Please post the error message on our forum or contact customer support with Query Id: 56a188d5-9a10-4c30-a701-42c243c154c6.

Запрос: 

SELECT * FROM "default"."cloudtrail_table_logs" limit 10;

Это политика S3 Bucket: 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailAclCheck20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::cf-account-foundation-cloudtrailstack-trailbucket-707522222211"
        },
        {
            "Sid": "AWSCloudTrailWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::cf-account-foundation-cloudtrailstack-trailbucket-707522222211/AWSLogs/707522222211/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control"
                }
            }
        }
    ]
}

Область S3 находится в регионе eu-central-1 (Франкфурт) так же, как таблица athena, из которой я делаю запросы.

У меня есть права администратора для моего пользователя IAM.

Я получаю ту же ошибку при попытке вручную открыть файл в этом сегменте: 

<Error><Code>AccessDenied</Code><Message>Access Denied</Message><RequestId>5D49DF767D01F32C</RequestId><HostId>9Vd/MvDy5/AJYExs6BXoZbuMxxjxTCfFqzaMTQDwyrgyVZpdL+AgDihiZu3k17PWEYOJ19I8sbQ=</HostId></Error>

Я не знаю, что здесь происходит. Еще одна точность заключается в том, что в сегменте есть шифрование SSE-KMS, но это не значит, что мы не можем делать запросы в него.

Та же ошибка, даже когда я ставлю ведро на всеобщее обозрение.

У кого-нибудь есть подсказка?

...