amazon-web-services - 是否可以使用aws assume-role跨账户访问来自不同区域的aws资源

Question

这是我的场景。

Account1 contains data for Finance, HR data in Frankfurt region.
Account2 contains data for Finance, HR data in Northern Virginia region.

帐户 3 中的用户 1 想要访问帐户 1 和帐户 2 中的财务数据。这可能吗？

Answer 1

是的，这绝对有可能。 IAM 是一项全局服务，它不是特定于区域的，您可以使用 IAM 角色和跨账户访问来配置类似的东西。

AWS 关于 IAM 账户管理的最佳实践建议如下:

1. 拥有一个帐户，您可以在其中创建所有 IAM 用户和组(+ 配置整合账单)，仅此而已 - 我将其称为 ManagementAccount

2. 创建 Account1 和 Account2 并在其中创建跨账户访问角色，您配置每个角色的策略以授予对账户内特定资源的访问权限(特定地区，如果你愿意的话)。例如，在 Account1 中，您设置了一个名为 Frankfurt-Auditor 的角色，其策略授予对名为 company-frankfurt-finance 的 S3 存储桶的读取访问权限(此存储桶归 Account1 所有。您还在 Account2 中创建了一个名为 NorthernVirginia-Auditor 的角色，该角色授予访问名为 company-northernvirginia-finance 的存储桶(存储桶拥有者帐户 2)。这些角色还将在 ManagementAccount 和 Account1 或 Account2

之间建立信任

3. 允许 ManagementAccount 中的特定用户(或组)承担 Frankfurt-Auditor 和 NorthernVirginia-Auditor 中的角色 帐户 1 和 帐户 2。

有一个不错的详细教程，希望能帮助您进行设置: Tutorial: Delegate Access Across AWS Accounts Using IAM Roles