某公司使用 Amazon Athena 对 S3 数据执行即席查询，并且需要在同一 AWS 账户中的用户、团队和应用程序之间分离查询执行和历史记录访问。哪种解决方案可以强制执行这些权限边界？

Athena workgroups 旨在提供查询隔离和管理。通过为每个用例创建单独的 workgroup，可以独立管理每个 workgroup 的查询执行、历史记录和配置。IAM 策略可以与 workgroup 结合使用，通过基于标签的条件限制用户或角色对特定 workgroup 的访问，从而强制执行精细的权限边界。 其他选项不合适： 为每个用例创建 S3 存储桶会增加管理复杂性，并且不能直接隔离 Athena 查询执行和历史记录。 为每个用例创建 IAM 角色并将其与 Athena 关联，虽然可以管理权限，但 Athena workgroups 提供了更直接和集中的查询管理和隔离机制。 AWS Glue Data Catalog 资源策略主要用于控制对元数据（如表和数据库）的访问，而不是 Athena 查询执行和历史记录的隔离。