AWS 跨账户访问资源

说明

需要访问的对方账户：目标账户。

程序配置的自己的账户：源账户。

目标账户配置

创建 IAM 策略

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject*",
                "s3:GetObjectVersion",
                "s3:ListAllMyBuckets",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::<BUCKET>/*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::<BUCKET>"
        }
    ]
}

创建 IAM 角色

创建角色时选择可信实体，实体类型选择AWS账户，再选择另一个AWS账户，填写源账户的ID。

在添加权限时选择刚创建的策略。

信任关系配置

进入到角色详情页，选择信任关系。

编辑信任策略

将源账户下受信任的ARN配置到信任策略中。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::<SOURCE_ACCOUNT_ID>:root",
                    "arn:aws:iam::<SOURCE_ACCOUNT_ID>:role/<SOURCE_ACCOUNT_ROLE>",
                ]
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}