S3 跨账户访问

Question

我在以下示例中给出了一个场景：Example 4: Bucket owner granting cross-account permission to objects it does not own。

我可以按照这个例子让它工作。 为此，他们创建了一个用户并这样做了：

aws sts assume-role --role-arn arn:aws:iam::accountA-ID:role/examplerole \
--profile AccountCDave --role-session-name test

创建会话。现在我有以下问题。

• 我们真的需要像本例中那样创建用户并承担角色吗？
• 如何使用 root 用户进行操作？
• 我们可以假设它扮演像 EMR_DefaultRole 这样的角色吗？如果是，那么它将如何工作？
• 它会自动为 EMR 作业工作还是我需要在 EMR 作业中创建会话？

Answer 1

最简单的方法是：

• 在 EMR_DefaultRole（或 EMR 使用的任何角色）中，授予足够的访问权限以访问其他账户中的 S3 存储桶。例如，在所有存储桶上授予 s3:GetObject。虽然这不足以实现此类访问，但仍然需要它。
• 在其他账户的每个存储桶中，添加一个存储桶策略，授予 EMR 角色（由 ARN 引用）访问存储桶的权限。它可能需要GetObject 和ListBucket 权限。

这样，无需承担任何角色。相反，EMR 使用的角色被授予访问每个存储桶的权限。

见：Bucket policy examples - Amazon Simple Storage Service