amazon-web-services - 用于跨账户访问特定 AWS 账户中的 S3 存储桶的 IAM 角色策略

Question

允许从 IAM 角色访问 帐号A 仅当 AWS 中存在给定的 S3 存储桶时才使用它们 帐号B (使用帐号)。
这是我的 角色政策 在 帐号A 目前具有以下权限。如何更新它以仅访问 中的 S3 存储桶帐号B .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*",
                "s3:Put*"
            ],
            "Resource": [
                "arn:aws:s3:::kul-my-bucket/my-dir/*"
            ]
        },
        {
            "Sid": "ListBucket",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::kul-my-bucket"
            ]
        }
    ]
}

想知道是否有可能，或者我应该尝试不同的方法吗？
通过在政策中提供条件，我的案例是否可能与此类似:

"Condition": {
                "StringLike": {
                    "aws:accountId": [
                        "111111111111"
                    ]
                }
            }

我需要这个，因为在 中的 S3 存储桶上帐号B 它允许 root 访问 帐号A .因此我想在 中限制角色策略帐号A .

Answer 1

我认为无法根据 AWS 帐号授予/拒绝对 Amazon S3 存储桶的访问权限。这是因为 Amazon S3 ARN 不包括账户 ID，而是使用唯一的存储桶名称。
您需要按名称专门为每个存储桶授予允许访问权限。
我之前见过这种情况，要求仅授予 S3 访问其他账户中的存储桶的权限，而不是拥有 IAM 用户自己的账户。如果不授予访问“同一帐户”S3 存储桶的权限，我们无法确定执行此操作的方法。