示例 2：存储桶拥有者授予跨账户存储桶权限

1. 确保您有两个 AWS 账户并且每个账户都有一个管理员用户，如前面部分的表中所示。

   1. 根据需要注册 AWS 账户。

   2. 使用账户 A 凭证登录 IAM 控制台以创建管理员用户：

      1. 创建用户 AccountAadmin 并记下安全凭证。有关说明，请参阅《IAM 用户指南》中的在您的 AWS 账户 中创建 IAM 用户。

      2. 通过附加一个授予完全访问权限的用户策略来向 AccountAadmin 授予管理员权限。有关说明，请参阅 IAM 用户指南中的使用策略。

   3. 在 IAM 控制台中，记下控制面板上的 IAM 用户登录 URL。账户中的所有用户都必须使用此 URL 登录 AWS Management Console。

      有关更多信息，请参阅 IAM 用户指南中的用户如何登录您的账户。

   4. 使用账户 B 凭证重复上一个步骤，然后创建管理员用户 AccountBadmin。

2. 设置 AWS Command Line Interface（AWS CLI）或 AWS Tools for Windows PowerShell。请务必保存管理员用户凭证，如下所示：

   • 如果使用 AWS CLI，请在配置文件中创建两个配置文件：AccountAadmin 和 AccountBadmin。

   • 如果使用 AWS Tools for Windows PowerShell，请确保将用于会话的凭证存储为 AccountAadmin 和 AccountBadmin。

   有关说明，请参阅 设置用于演练的工具。

3. 保存管理员用户凭证，也称为配置文件。您可以对输入的每个命令使用配置文件名称而不是指定凭证。有关更多信息，请参阅 设置用于演练的工具。

   1. 在 AWS CLI 凭证文件中为两个账户中的每个管理员用户 AccountAadmin 和 AccountBadmin 添加配置文件。

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. 如果使用的是 AWS Tools for Windows PowerShell，请运行以下命令。

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. 在 Amazon S3 控制台中创建一个存储桶。此练习假设该存储桶在美国东部（弗吉尼亚州北部）AWS 区域中创建，命名为 amzn-s3-demo-bucket。

   有关说明，请参阅 创建桶。

2. 向存储桶上传示例对象。

   有关说明，请转到 步骤 2：将对象上传到存储桶。

1. 将以下存储桶策略附加到 amzn-s3-demo-bucket。该策略向账户 B 授予 s3:GetLifecycleConfiguration 和 s3:ListBucket 操作的权限。

   有关说明，请参阅 使用 Amazon S3 控制台添加存储桶策略。

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }

2. 验证账户 B（及其管理员用户）是否可以执行这些操作。

   • 使用 AWS CLI 进行验证

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • 使用 AWS Tools for Windows PowerShell 进行验证

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

使用 AWS CLI 测试权限

1. 将 UserDave 配置文件添加到 AWS CLI 配置文件。有关配置文件的更多信息，请参阅设置用于演练的工具。

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. 在命令提示符处，输入以下 AWS CLI 命令，验证 Dave 现在是否可以从账户 A 拥有的 amzn-s3-demo-bucket 获取对象列表。请注意，该命令指定了 UserDave 配置文件。

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave 没有任何其它权限。因此，如果他尝试任何其它操作（例如，下面的 get-bucket-lifecycle 配置操作），则 Amazon S3 会返回权限被拒绝的消息。

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

使用 AWS Tools for Windows PowerShell 测试权限

1. 将 Dave 的凭证存储为 AccountBDave。

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. 尝试列出存储桶的命令。

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave 没有任何其它权限。因此，如果他尝试任何其它操作（例如，下面的 get-s3bucketlifecycleconfiguration 操作），则 Amazon S3 会返回权限被拒绝的消息。

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. 完成测试之后，您可以执行以下操作来进行清理：

   1. 使用账户 A 凭证登录 AWS Management Console（AWS Management Console），执行以下操作：

      • 在 Amazon S3 控制台中，删除附加到 amzn-s3-demo-bucket 的存储桶策略。在存储桶 Properties（属性）中，删除 Permissions（权限）部分中的策略。

      • 如果该存储桶是为此练习而创建的，请在 Amazon S3 控制台中删除对象，然后删除存储桶。

      • 在 IAM 控制台中，移除 AccountAadmin 用户。

2. 使用账户 B 凭证登录 IAM 控制台。删除用户 AccountBadmin。有关分步说明，请参阅《IAM 用户指南》中的删除 IAM 用户。