amazon-web-services - AWS Lambda 函数的跨账户角色

Question

我有两个 AWS 账户(A 和 B)。在我的账户 A 上，我有一个 lambda 函数，它需要访问账户 B 的资源。
准确地说，我的账户 A 上的 lambda 需要更新我的账户 B 上托管的 Route53 区域中的记录。

与 S3 相反，我在 Route53 中看不到任何资源访问策略。所以我有点失落。
我尝试使用 IAM 跨账户角色，但这似乎不适用于 lambda。

如何允许账户 A 上的 lambda 函数访问我的账户 B 的资源？

Answer 1

您可以在账户 B 中创建一个角色并允许您的用户(在账户 A 中)担任该角色。

创建 账户 A 中的角色 将由您的 AWS Lambda 函数使用。

创建 账户 B 中的角色 角色类型为 跨账户访问角色 .分配所需的权限以在账户 B 中使用 Route 53。同时为账户 A 中的角色添加调用 AssumeRole 的权限关于这个角色。

Lambda 函数 在账户 A 中，然后可以调用 AssumeRole关于帐户 B 中的角色。这将返回一组 临时凭证 可用于访问账户 B 中的 Route 53。

看:

Tutorial: Delegate Access Across AWS Accounts Using IAM Roles

Creating a Role to Delegate Permissions to an IAM User

这是教程中的图片: