更新 Route53 记录集 - 跨账户

Question

尝试使用 lambda 函数更新记录集时遇到访问问题。

• Lambda - 账户 A
• Route53 - 账户 B

我有一个附加到账户 A 中的 lambda 的 IAM 角色，并拥有账户 B 中 IAM 角色的代入角色权限。账户 B 中的 IAM 角色有权更新账户 B 中的记录集。

触发 lambda 时，接收用户无权访问此资源。

如果我在这里遗漏任何东西或者我需要任何额外的设置，有人可以帮助我吗？

Answer 1

您需要使用 STS 获取令牌才能在 Account B 上调用 Route53。以下是 boto3 中有关 STS 的文档：https://boto3.amazonaws.com/v1/documentation/api/latest/reference/services/sts.html#STS.Client.assume_role

您将取回用于调用 Route53 的凭据。

Answer 2

您正在使用 Account-A 中的 Lambda 函数来调用 Account-B 中的 Route 53。

这将需要：

• Account-A 中分配给 Lambda 函数的 IAM 角色 (Role-A)。它应该授予调用AssumeRole() 的权限，其中Resource 设置为Account-B 中Role-B 的ARN：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::<Account-B>:role/role-b"
        }
    ]
}

有了这种信任关系：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

• Account-B 中的一个 IAM 角色 (Role-B) 有权调用 Route 53。它还应该有一个信任策略，允许Role-A 在Account-A 中承担它：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:*",
            "Resource": "*"
        }
    ]
}

（这是一个过于强大的策略。最好将其限制为所需的特定 Route 53 操作。）

还有这个信任关系（指向上一步创建的角色）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<Account-A>:role/role-a"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}