Athena에서 Amazon S3 버킷에 대한 크로스 계정 액세스 구성

계정 A의 버킷에 대한 액세스 권한을 계정 B의 사용자에게 부여하려면

• 계정 A에서 S3 버킷 정책을 검토하고 계정 B의 계정 ID에서 액세스할 수 있도록 허용하는 문이 있는지 확인합니다.

  예를 들어 다음 버킷 정책은 s3:GetObject에 계정 ID 111122223333에 대한 액세스를 허용합니다.

  {
    "Id": "ExamplePolicy1",
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "ExampleStmt1",
        "Action": [
          "s3:GetObject"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
        "Principal": {
          "AWS": [
            "111122223333"
          ]
        }
      }
    ]
  }

계정 A의 AWS KMS 키 정책에서 계정 B의 사용자에게 액세스 권한을 부여하려면

1. 계정 A의 AWS KMS 키 정책에서 계정 B가 맡은 역할에 다음 작업에 대한 권한을 부여합니다.

   • kms:Encrypt

   • kms:Decrypt

   • kms:ReEncrypt*

   • kms:GenerateDataKey*

   • kms:DescribeKey

   다음 예제에서는 하나의 IAM 역할에만 키 액세스 권한을 부여합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowUseOfTheKey",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:role/role_name"
               },
               "Action": [
                   "kms:Encrypt",
                   "kms:Decrypt",
                   "kms:ReEncrypt*",
                   "kms:GenerateDataKey*",
                   "kms:DescribeKey"
               ],
               "Resource": "*"
           }
       ]
   }

2. 계정 A에서 AWS Management Console 정책 보기를 사용하여 키 정책을 검토합니다.

3. 키 정책에서 다음 문에 계정 B가 보안 주체로 나열되어 있는지 확인합니다.

   "Sid": "Allow use of the key" 

4. "Sid": "Allow use of the key" 문이 없으면 다음 단계를 수행하세요.

   1. 콘솔 기본 보기를 사용하여 키 정책을 보도록 전환합니다.

   2. 계정 B의 계정 ID를 키에 대한 액세스 권한이 있는 외부 계정으로 추가합니다.

계정 B가 맡은 IAM 역할에서 계정 A의 버킷 및 키에 대한 액세스 권한을 부여하려면

1. 계정 B에서 IAM 콘솔을 엽니다(https://console.aws.amazon.com/iam/).

2. 계정 B에서 사용자와 연결된 IAM 역할을 엽니다.

3. IAM 역할에 적용된 권한 정책 목록을 검토합니다.

4. 버킷에 대한 액세스 권한을 부여하는 정책이 적용되었는지 확인합니다.

   다음 예제 문은 IAM 역할에 버킷 amzn-s3-demo-bucket의 s3:GetObject 및 s3:PutObject 작업에 대한 액세스 권한을 부여합니다.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "ExampleStmt2",
         "Action": [
           "s3:GetObject",
           "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
       }
     ]
   }

5. 키에 대한 액세스 권한을 부여하는 정책이 적용되었는지 확인합니다.

   참고

   계정 B가 맡은 IAM 역할에 이미 관리자 액세스 권한이 있으면 사용자의 IAM 정책에서 키에 대한 액세스 권한을 부여할 필요가 없습니다.

   다음 예제 문은 IAM 역할에 arn:aws:kms:us-west-2:123456789098:key/111aa2bb-333c-4d44-5555-a111bb2c33dd 키를 사용할 수 있는 액세스 권한을 부여합니다.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "ExampleStmt3",
         "Action": [
           "kms:Decrypt",
           "kms:DescribeKey",
           "kms:Encrypt",
           "kms:GenerateDataKey",
           "kms:ReEncrypt*"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:kms:us-west-2:123456789098:key/111aa2bb-333c-4d44-5555-a111bb2c33dd"
       }
     ]
   }