amazon-web-services - 从 govcloud ec2 实例访问商业 s3 存储桶

Question

我在商业 aws 账户中有一个 s3 存储桶。我的 ec2 实例位于 govcloud s3 帐户中。试图在 govcloud 帐户内创建一个 IAM 角色并选择“另一个 AWS 帐户”选项并记下商业 aws 帐号，但它不允许我设置此信任。不断抛出此错误:策略中的主体无效:“AWS”:“[商业帐号]”。如果我尝试在商业广告中创建相同的 IAM 角色并让它信任 govcloud，它会给我同样的错误。我什至尝试在商业帐户中创建一个新的 S3 存储桶，并有一个允许从 govcloud 帐户访问的存储桶策略，但它提示主体无效:

"Principal": {
                "AWS": "arn:aws-us-gov:iam::[govcloud account ID]:user/root"
            },

如果我尝试在两个 govcloud 帐户或两个商业帐户之间建立上述信任，它工作正常。希望有人能帮助我。提前谢谢你

Answer 1

在 How IAM Differs for AWS GovCloud (US) 上引用 IAM 文档:

You cannot create a role to delegate access between an AWS GovCloud (US) account and a standard AWS account.

另请注意，IAM 凭证作为受 ITAR 监管的数据受到保护。