AWS s3跨账户策略，确保所有账户都能读取

Question

我有多个 AWS 账户。假设账户 A、B 和 C，IAM 用户 IA、IB 和 IC。 B 中有一个 S3 存储桶，S3B。我已经进行了配置，因此如果 IB 将文件放入 S3B 中，所有三个用户都可以读取它。我已经能够进一步配置它，以便 IA 和 IC 可以上传——但只有他们可以读取这些文件。我能够对其进行限制，以便 IA 和 IC 也必须授予 IB 读取权限 - 但是，授予此权限仍然不允许 IA 或 IC 中的另一个读取它，并且需要来自客户端代码。

有没有什么办法可以让IA和IC上传并自动授予权限，让三个账户都有读权限？

谢谢！

Answer 1

您的问题相当混乱，但我假设您问的是如何允许其他 AWS 账户中的用户访问 Amazon S3 存储桶（包括创建和读取文件）。

你有：

• 帐户 A 中的用户 A
• 帐户 B 中的存储桶 B

首先，您需要向帐户 B 添加一个允许用户 A 访问的策略。它看起来像：

{
    "Id": "Policy1",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Action": "s3:*",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::bucket-b",
                "arn:aws:s3:::bucket-b/*"
            ],
            "Principal": "arn:aws:iam::<Account-A>:user/User-A"
        }
    ]
}

请注意，此策略适用于 Account-B 中的 Bucket-B，但它授予 Account-A 中的 User-A 访问权限。

其次，User-A 需要使用 S3 的权限。这可能已经授予用户，但值得一提的是，他们需要被授予实际调用 S3 的权限。以下是他们需要的政策示例：

{
    "Id": "Policy1",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Action": "s3:*",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::bucket-b",
                "arn:aws:s3:::bucket-b/*"
            ]
        }
    ]
}

澄清一下：如果他们已经有一个允许他们在任何存储桶上调用 S3 的策略（例如 Resource: * 上的 s3:*），那么他们将不需要上述策略，因为他们已经有权调用 S3。

但是……

如果您实际上是想限制一些事情，以便用户 A 上传的文件对用户 B 是只读的，而用户 B 创建的文件对用户 A 是只读的，这很多更难，最好避免使用，除非您编写自己的管理应用程序或使用单独的路径来控制权限。

Answer 2

您可以通过在 S3 存储桶级别管理且独立于身份访问管理 (IAM) 的存储桶策略来实现此目的。 IAM、存储桶策略和对象访问控制（文件/对象级别）之间的访问联合将授予委托人（用户或组）访问权限。确保没有明确的拒绝，因为任何明确的拒绝都会胜过任何访问权限。

https://docs.aws.amazon.com/AmazonS3/latest/dev/example-walkthroughs-managing-access-example2.html