跨账户访问特定 AWS 账户中的 S3 存储桶的 IAM 角色策略

Question

仅当 AWS AccountB 中存在给定的 S3 存储桶时才允许从 AccountA 中的 IAM 角色访问（使用帐号）。

这是我在 AccountA 中的角色政策，目前拥有以下权限。如何将其更新为仅访问 AccountB 中的 S3 存储桶。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*",
                "s3:Put*"
            ],
            "Resource": [
                "arn:aws:s3:::kul-my-bucket/my-dir/*"
            ]
        },
        {
            "Sid": "ListBucket",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::kul-my-bucket"
            ]
        }
    ]
}

想知道是否可行，或者我应该尝试不同的方式吗？

通过在政策中提供条件，我的情况是否可能与此类似：

"Condition": {
                "StringLike": {
                    "aws:accountId": [
                        "111111111111"
                    ]
                }
            }

我需要这个，因为在 AccountB 中的 S3 存储桶上，它允许 root 访问 AccountA。因此，我想限制 AccountA 中的角色政策。

Answer 1

我认为不可能根据 AWS 帐号授予/拒绝对 Amazon S3 存储桶的访问权限。这是因为 Amazon S3 ARN 不包括账户 ID，而是使用唯一的存储桶名称。

您需要按名称专门授予允许访问每个存储桶的权限。

我之前见过这种情况，要求授予 S3 访问存储桶的权限仅在其他账户中，而不是拥有 IAM 用户自己的账户。如果不授予访问“相同帐户”S3 存储桶的权限，我们无法确定执行此操作的方法。