Permisos insuficientes al usar Athena con Amazon QuickSight

Si recibe un mensaje de error que indica que los permisos son insuficientes, pruebe los siguientes pasos para resolver el problema.

Necesita permisos de administrador para solucionar este problema.

Resolución de un error de permisos insuficientes

1. Asegúrese de que Amazon QuickSight pueda acceder a los buckets de Amazon S3 que utiliza Athena:

   1. Para ello, elija su nombre de perfil (arriba a la derecha). Selecciona Administrar yQuickSight, a continuación, selecciona Seguridad y permisos.

   2. Elija Add or remove (Añadir o eliminar).

   3. Ubique Athena en la lista. Desactive la casilla junto a Athena y vuelva a seleccionarla para habilitar Athena.

      Elija Conectar ambos.

   4. Elige los cubos a los que quieres acceder desde Amazon QuickSight.

      Los ajustes para los buckets de S3 a los que accede aquí son los mismos a los que accede eligiendo Amazon S3 de la lista de Servicios de AWS. Tenga cuidado de no desactivar inadvertidamente un bucket que utilice otra persona.

   5. Elija Seleccionar para guardar los buckets de S3.

   6. Selecciona Actualizar para guardar la nueva configuración y poder QuickSight acceder a ella por AmazonServicios de AWS. O bien, elija Cancelar para salir sin realizar ningún cambio.

2. Si el archivo de datos está cifrado con una AWS KMS clave, conceda permisos al rol de Amazon QuickSight IAM para descifrar la clave. La manera más sencilla de hacerlo es usar la AWS CLI.

   Puede ejecutar el comando create-grant en la AWS CLI para realizar esta tarea.

   aws kms create-grant --key-id <AWS KMS key ARN> --grantee-principal <Your Amazon QuickSight Role ARN> --operations Decrypt
   		

   El nombre de recurso de Amazon (ARN) del QuickSight rol de Amazon tiene el formato arn:aws:iam::<account id>:role/service-role/aws-quicksight-service-role-v<version number> y se puede acceder a él desde la consola de IAM. Para buscar el ARN de clave de AWS KMS, utilice la consola de S3. Vaya al bucket que contiene el archivo de datos y elija la pestaña Información general. La clave se encuentra cerca del ID de clave de KMS.

Para las conexiones de Amazon Athena, Amazon S3 y Athena Query Federation, QuickSight utiliza la siguiente función de IAM de forma predeterminada:

arn:aws:iam::AWS-ACCOUNT-ID:role/service-role/aws-quicksight-s3-consumers-role-v0

Si no aws-quicksight-s3-consumers-role-v0 está presente, utiliza: QuickSight

arn:aws:iam::AWS-ACCOUNT-ID:role/service-role/aws-quicksight-service-role-v0