授予 Redshift Cluster 对另一个账户拥有的 S3 存储桶的访问权限

Question

我正在尝试使用 iam_role 将数据从 Redshift 卸载到 S3。只要我将数据卸载到与 Redshift 集群相同的帐户所拥有的 S3 存储桶，卸载命令就可以正常工作。

但是，如果我尝试将数据卸载到另一个帐户拥有的 S3 存储桶中，则它不起作用。我已经尝试过这些教程中提到的方法：

• Tutorial: Delegate Access Across AWS Accounts Using IAM Roles
• Example: Bucket Owner Granting Cross-Account Bucket Permissions

但是，我总是得到S3ServiceException:Access Denied,Status 403,Error AccessDenied,Rid

以前有人做过吗？

Answer 1

我让它工作了。这是我所做的：

• 在具有AmazonS3FullAccess 策略的账户 A 中创建了一个 IAM 角色（用于测试）
• 在账户 A 中启动了一个 Amazon Redshift 集群
• 已将数据加载到 Redshift 集群中
• 测试 1： 卸载到帐户 A 中的存储桶 -- 成功
• 测试 2： 卸载到帐户 B 中的存储桶 -- 失败
• 向账户 B 中的存储桶添加了存储桶策略（见下文）
• 测试 3： 卸载到帐户 B 中的存储桶 -- 成功！

这是我使用的存储桶策略：

{
  "Id": "Policy11",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PermitRoleAccess",
      "Action": "s3:*",
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::my-bucket",
        "arn:aws:s3:::my-bucket/*"
      ],
      "Principal": {
        "AWS": [
          "arn:aws:iam::123456789012:role/Redshift-loader"
        ]
      }
    }
  ]
}

Redshift-loader 角色已与我的 Redshift 集群关联。此策略授予角色（位于不同 AWS 账户中）访问此 S3 存储桶的权限。