The ciphertext refers to a customer master key that does not exist, does not exist in this region, or you are not allowed to access (Query Id: b2c74c7e-21ed-4375-8712-cd1579eab9a7)

0

【以下的问题经过翻译处理】 我尝试设置跨账户的 Athena 访问权限。我能在目标账户下的 Lake formation、Glue 和 Athena 中看到数据库。一开始,我在目标 Athena 控制台中没有看到任何表格。在我在 Lake formation 控制台(目标账户)做了一些操作后,我才能在目标 Athena 控制台中看到一个表并成功查询它。但是,我即使尝试了许多方法,仍无法看到同一数据库中的其他表格。我总是得到以下错误,即使在所有地方(KMS 和 IAM 角色)都给予了 KMS 访问权限,或者在 Glue 中关闭了 KMS 加密,我仍然得到了以下错误。我不知道实际原因是什么。 以下是一个错误消息的示例: The ciphertext refers to a customer master key that does not exist, does not exist in this region, or you are not allowed to access. (Service: AWSKMS; Status Code: 400; Error Code: AccessDeniedException; Request ID: cb9a754f-fc1c-414d-b526-c43fa96d3c13; Proxy: null) (Service: AWSGlue; Status Code: 400; Error Code: GlueEncryptionException; Request ID: 0c785fdf-e3f7-45b2-9857-e6deddecd6f9; Proxy: null) This query ran against the "xxx_lakehouse" database, unless qualified by the query. Please post the error message on our forum or contact customer support with Query Id: b2c74c7e-21ed-4375-8712-cd1579eab9a7. 我已经按照 https://repost.aws/knowledge-center/cross-account-access-denied-error-s3 中指出的权限添加了权限。有人知道如何修复错误并在 Athena 中查看跨账户的表格吗?非常感谢。

profile picture
EXPERTE
gefragt vor 5 Monaten77 Aufrufe
1 Antwort
0

【以下的回答经过翻译处理】 你好, 你在目标账户的Lakeformation控制台中是否创建了相关的资源链接?如果还没有,请遵循给定的文档设置共享表格在你的目标账户中。 如果源S3存储桶和Glue中的源表格都使用不同的KMS密钥加密,那么必须给予两个密钥的权限。如果它们属于不同的账户,则必须提供基于资源和基于身份的权限。

根据我的经验,你所看到的错误是由于KMS密钥的密钥策略没有正确定义,因此它不允许跨账户访问该密钥。因此,请确认一次。

如果你能联系安全团队的高级支持工程师会更好,因为他们将能够查看你的策略,并找出错误的确切根本原因。

profile picture
EXPERTE
beantwortet vor 5 Monaten

Du bist nicht angemeldet. Anmelden um eine Antwort zu veröffentlichen.

Eine gute Antwort beantwortet die Frage klar, gibt konstruktives Feedback und fördert die berufliche Weiterentwicklung des Fragenstellers.

Richtlinien für die Beantwortung von Fragen