AWS Lambda 函数的跨账户角色

Question

我有两个 AWS 账户（A 和 B）。在我的账户 A 上，我有一个 lambda 函数，需要访问账户 B 的资源。 准确地说，我的账户 A 上的 lambda 需要更新我的账户 B 上托管的 Route53 区域中的记录。

与 S3 相反，我在 Route53 中看不到任何资源访问策略。所以我有点失落。 我尝试使用 IAM 跨账户角色，但这似乎不适用于 lambda。

如何允许账户 A 上的 lambda 函数访问我的账户 B 的资源？

Answer 1

您可以在账户 B 中创建一个角色并允许您的用户（在账户 A 中）担任该角色。

• 在账户 A 中创建一个角色，供您的 AWS Lambda 函数使用。
• 在帐户 B 中创建一个角色，角色类型为跨帐户访问角色。分配所需的权限以在账户 B 中使用 Route 53。同时为账户 A 中的角色添加权限，以便在该角色上调用 AssumeRole。
• 账户 A 中的 Lambda 函数 然后可以对账户 B 中的角色调用 AssumeRole。这将返回一组可用于访问的临时凭证账户 B 中的 Route 53。

见：

• Tutorial: Delegate Access Across AWS Accounts Using IAM Roles
• Creating a Role to Delegate Permissions to an IAM User

这是教程中的图片：