amazon-web-services - AWS 跨账户 SNS 发布

Question

我们有两个账户 111111111111 和 222222222222。

要求 - 帐户 111111111111 将每天创建 RDS 的快照。拍摄快照后，我们希望帐户 111111111111 发布到帐户 222222222222 中创建的 SNS 主题。帐户 2222222222222 收到通知后，它将运行 Lambda 函数。

我已将以下策略附加到帐户 222222222222 中创建的主题

     "Sid":"RestoreRDSEng_topic_publish",
     "Effect":"Allow",
     "Principal":{
        "AWS":"111111111111"
     },
     "Action":"sns:Publish",
     "Resource":"arn:aws:sns:us-east-1:222222222222:RestoreRDSEng",
     "Condition":{
        "StringEquals":{
           "AWS:SourceAccount":"222222222222"
        },

     }
  } 

当帐户 111111111111 尝试发布到 222222222222 时，我收到以下错误

*"message": "AuthorizationError: User: arn:aws:sts::************assumed-role/tf-rds_eventhandler/tf-rds_eventhandler 无权执行:SNS:Publish on资源:arn:aws:sns:us-east-1:xxxxxxxxxxxx:RestoreRDSEng\n\t状态代码:403，请求 ID:098f4647-c9ad-51fe-9bc3-17b45deef60e"*

问题:

这种方法有什么问题吗？

我是否应该在帐户 222222222222 中创建一个角色，并具有对 111111111111 的可信访问权限？

任何其他建议将不胜感激。

Answer 1

Principal需要是账户11111...中的服务或角色，您要执行发布到SNS主题的操作。例如:

 "Principal": {
     "Service": "cloudtrail.amazonaws.com"
   }