amazon-web-services - 限制用户在 athena 上执行 INSERT 查询

Question

我想限制用户在 athena 的主表（不是 CTAS 表）中执行 INSERT 查询。如果有办法，我能做到这一点吗？用户将执行来自 Lambda 的查询。

标签： amazon-web-servicesaws-glueamazon-athena

Answer 1

Athena 仅支持StartQueryExecution和StopQueryExecution作为IAM 权限策略中的操作- 因此执行哪种类型的 SQL 命令（DDL、DML）没有区别。

但是，我认为您可以通过拒绝权限来克服这个问题glue，S3因此尝试执行 INSERT 的 Athena 查询将失败：

• 粘合权限可以在目录、数据库和表级别进行管理，一些示例可以在 AWS 的基于身份的策略（IAM 策略）中找到，用于 Glue 的访问控制
• 要拒绝的相关粘合操作：BatchCreatePartition, CreatePartition, UpdatePartition- 请参阅AWS Glue 的操作、资源和条件键
• 如果S3您需要拒绝PutObject或Put*针对特定表的 S3 位置，请参阅Amazon S3 定义的操作- 同样，这可以在存储桶中的对象级别上定义。