选项 3：配置 AWS IAM 用户凭证以访问 Amazon S3¶

AWS 访问控制要求¶

Snowflake 需要对 S3 桶和文件夹拥有以下权限才能访问该文件夹（以及任何子文件夹）中的文件：

• s3:GetBucketLocation

• s3:GetObject

• s3:GetObjectVersion

• s3:ListBucket

作为最佳实践，Snowflake 建议创建一个 IAM 策略，供 Snowflake 访问 S3 桶时使用。然后，您可以将该策略附加到角色，并使用 AWS 为角色生成的安全凭证来访问桶中的文件。

创建 IAM 策略¶

以下分步说明介绍如何在 AWS 管理控制台中配置 Snowflake 的访问权限，以便您可以使用 S3 桶来加载和卸载数据：

1. 登录 AWS 管理控制台。

2. 从主页仪表板搜索并选择 IAM。

3. 从左侧导航窗格中选择 Account settings。

4. 在 Endpoints 列表中的 Security Token Service (STS) 下，找到账户所在的 Snowflake 区域。如果 STS status 不活动，请将切换按钮移至 Active。

5. 从左侧导航窗格中选择 Policies。

6. 选择 Create Policy。

7. 对于 Policy editor，选择 JSON。

8. 添加允许 Snowflake 访问 S3 桶和文件夹的策略文档。

   以下策略（采用 JSON 格式）为 Snowflake 提供指定桶和文件夹路径所需的访问权限。您可将文本复制并粘贴到策略编辑器中：

   备注

   • 确保用实际桶名称和文件夹路径前缀替换 bucket 和 prefix。

   • 政府区域 中的桶的 Amazon 资源名称 (ARN) 有一个 arn:aws-us-gov:s3::: 前缀。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:GetObjectVersion",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion"
               ],
               "Resource": "arn:aws:s3:::<bucket_name>/<prefix>/*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation"
               ],
               "Resource": "arn:aws:s3:::<bucket_name>",
               "Condition": {
                   "StringLike": {
                       "s3:prefix": [
                           "<prefix>/*"
                       ]
                   }
               }
           }
       ]
   }
   

   Copy

   备注

   将 "s3:prefix": 条件设置为 ["*"] 或者 ["<path>/*"]，以便分别向指定桶中的所有前缀或桶中的路径分别授予访问权限。

9. 选择 Next。

10. 输入 Policy name （例如 snowflake_access）和可选的 Description。

11. 选择 Create policy。