AWSGlue to AWSRDS(postgre) データカタログのクローラーエラーについて

Question

実現したいこと

Glueでデータカタログ作成のためにクローラーを走らせたい。

発生している問題・分からないこと

Glueでデータカタログ作成のためにクローラーを走らせると、ただ、IAMの権限の部分でエラーは起きてしまう。

ログを見るとおそらくS3に配置しているJDBCドライバーのところでエラーが権限のエラーが起きている模様。Glueには、RDS S3のフルアクセス　AWSGlueコンソールのフルアクセス　AWSGlueサービスロールと、JDBC用のインライン用ポリシーを付与しています。

対象のS3にもVPCエンドポイントを開けてアクセスできるようにしています。バケットポリシーにも一応、Glueからのアクセスの許可をしています。

ただ、なにを変更してもずっと同じところで止まるエラーがでてしまいます。

知見のある方、ご教授をお願いいたします。

該当のソースコード

特になし

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

ネットに記載のあるインラインポリシーを記入したがダメだった。

補足

特になし

Comments

[mike2mike4]

エラーメッセージをお願いします。

[y.c.0524]

ありがとうございます。エラーメッセージはこちらになります。
何卒よろしくお願いいたします。

ERROR : Crawler service is not granted iam permissions required Please provide the necessary policies for AWS Glue Jobs: https://docs.aws.amazon.com/glue/latest/dg/console-connections-jdbc-drivers.html. (Service: null; Status Code: 0; Error Code: null; Request ID: null; Proxy: null). For more information, see Setting up IAM Permissions in the Developer Guide (http://docs.aws.amazon.com/glue/latest/dg/getting-started-access.html).

[mike2mike4]

いつもの方が来るまで私がお相手しますね。
iam:PassRoleが付いたポリシーになってますか？

[y.c.0524]

ご対応誠にありがとうございます。

ポリシーに関しまして、
Glueには
AmazonRDSFullAccess
AmazonS3FullAccess
AWSGlueConsoleFullAccess
AWSGlueServiceRole
これにプラスして、JDBCに関する
インラインポリシー
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"s3:PutObject",
"s3:GetObject",
"s3:ListBucket",
"s3:DeleteObject"
],
"Resource": [
"arn:aws:s3:::bucket_name/postgresql-42.7.3.jar",
"arn:aws:s3:::stg-bucket_name-glue/*"
]
}
]
}
をつけています。
これだと「iam:PassRole」はついていないのでしょうか？

[mike2mike4]

AWSに元からある管理ポリシーにはiam:PassRoleは付いてないので付ける必要があります。
以下を参考に、Resource部分を修正してアタッチしてみてください。
ロール名はアタッチするロールの名前です。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"s3:PutObject",
"s3:GetObject",
"s3:ListBucket",
"s3:DeleteObject"
],
"Resource": [
"arn:aws:s3:::bucket_name/postgresql-42.7.3.jar",
"arn:aws:s3:::stg-bucket_name-glue/*"
]
},
{
"Sid": "PassRole",
"Effect": "Allow",
"Action": "iam:PassRole",
"Resource": "arn:aws:iam::account-id:role/role-name"
}
]
}

[y.c.0524]

誠にありがとうございます、ご指摘いただいた修正を実行したところ無事にその部分のエラーが解消されました。大変助かりました。

ベストアンサーとさせていただきたいと思います。

その部分のエラーは通ったのですが、またさきほどとは別のエラーが発生してしまいました笑
また解決できない場合、質問の投稿をさせていただきたいと思います。その際はまた何卒よろしくお願いいたします。

[y.c.0524]

ベストアンサーに選びたいので同じ内容を回答欄に投稿いただけますでしょうか？

Answer 1

BAがほしいと言う訳ではないですが、質問者さんのお手を煩わせるのも何だなと思い回答します。
お役に立てて良かったです。

AWSに元からある管理ポリシーにはiam:PassRoleは付いてないので付ける必要があります。
以下を参考に、Resource部分を修正してアタッチしてみてください。
ロール名はアタッチするロールの名前です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:ListBucket",
        "s3:DeleteObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucket_name/postgresql-42.7.3.jar",
        "arn:aws:s3:::stg-bucket_name-glue/*"
      ]
    },
    {
      "Sid": "PassRole",
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/YourRoleName"
    }
  ]
}