AWS DevOps Agent 查询 S3 日志时，因 guardrail 的 session policy 缺少 S3 写权限，Athena 将查询结果写入 S3 总是失败，即使为 role 添加 s3:PutObject 也无效。解决办法是新建启用 managed query results 的 Athena workgroup，由 Athena 托管查询结果；role 只需补充 Athena 查询权限和日志桶读权限，并事先建好表，同时在 agent instructions 中指定该 workgroup 且不传结果位置。该方案的限制是查询结果仅保留 24 小时，且不支持结果复用。