示例 4：存储桶拥有者针对自己未拥有的对象授予跨账户权限

确保您有三个 AWS 账户并且每个账户都有一个管理员用户，如前面部分的表中所示。

1. 根据需要注册 AWS 账户。我们将这些账户称为账户 A、账户 B 和账户 C。

2. 使用账户 A 凭证登录 IAM 控制台，然后执行以下操作以创建管理员用户：

   • 创建用户 AccountAadmin 并记下其安全凭证。有关添加用户的更多信息，请参阅 IAM 用户指南中的在您的 AWS 账户中创建 IAM 用户。

   • 通过附加一个授予完全访问权限的用户策略来向 AccountAadmin 授予管理员权限。有关说明，请参阅《IAM 用户指南》中的管理 IAM 策略。

   • 在 IAM 控制台的控制面板中，记下 IAM 用户登录 URL。此账户中的用户必须在登录 AWS Management Console 时使用此 URL。有关更多信息，请参阅《IAM 用户指南》中的 Sign in to the AWS Management Console as an IAM user。

3. 重复上述步骤，在账户 B 和账户 C 中创建管理员用户。

对于账户 C，请记下规范用户 ID。

在账户 A 中创建 IAM 角色时，信任策略通过指定账户 ID 向账户 C 授予担任该角色的权限。您可以查找账户信息，如下所示：

1. 使用 AWS 账户 ID 或账户别名、您的 IAM 用户名和密码登录 Amazon S3 控制台。

2. 请选择 Amazon S3 存储桶的名称以查看有关该存储桶的详细信息。

3. 请选择 Permissions (权限) 选项卡，然后选择 Access Control List (访问控制列表)。

4. 在 Access for your AWS 账户 (您的 Amazon 账户的访问权限) 部分，Account (账户) 列中是长标识符，例如 c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6。这是您的规范用户 ID。

创建存储桶策略时，您需要以下信息。记下以下值：

设置 AWS Command Line Interface (CLI) 或 AWS Tools for Windows PowerShell。请务必保存管理员用户凭证，如下所示：

有关说明，请参阅 设置用于演练的工具。

创建存储桶。此练习假设存储桶名称是 amzn-s3-demo-bucket1。

有关说明，请参阅 创建桶。

附加以下存储桶策略。该策略向账户 B 管理员授予上传对象的条件权限。

请通过为 amzn-s3-demo-bucket1、AccountB-ID 和 CanonicalUserId-of-AWSaccountA-BucketOwner 提供自己的值来更新策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

创建角色之前，准备好定义角色所需权限的托管策略。您可在以后的步骤中将此策略附加到角色。

1. 在左侧导航窗格中，请选择策略，然后选择创建策略。

2. 在 Create Your Own Policy 旁，选择 Select。

3. 在 Policy Name (策略名称) 字段中输入 access-accountA-bucket。

4. 复制下面的访问策略，然后将其粘贴到 Policy Document (策略文档) 字段中。该访问策略授予该角色 s3:GetObject 权限，这样，账户 C 用户在担任该角色时只能执行 s3:GetObject 操作。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. 选择创建策略。

   新策略会显示在托管策略列表中。

在左侧的导航窗格中，选择角色，然后选择创建角色。

在选择角色类型下，选择用于跨账户访问的角色，然后单击提供在您的 AWS 账户之间进行相互访问的权限旁边的选择按钮。

输入账户 C 的账户 ID。

对于此演练，您不必要求用户经过多重身份验证（MFA）来承担角色，因此请不要选择该选项。

选择下一步，设置与该角色关联的权限。

选中您创建的 access-accountA-bucket 策略旁边的复选框，然后选择下一步。

“Review (审核)”页面随即出现，使您可以在创建角色之前确认其设置。此页面上有一项极为重要，需要注意，即您可发送给需要使用此角色的用户的链接。使用该链接的用户会直接转到已填写“账户 ID”和“角色名称 ”字段的切换角色页面。稍后您可以在任何跨账户角色的角色摘要页面上看到此链接。

输入 examplerole 作为角色名称，然后单击下一步。

检查角色后，选择创建角色。

examplerole 角色显示在角色列表中。

选择角色名称 examplerole。

选择 Trust Relationships (信任关系) 选项卡。

选择显示策略文档并验证所示信任策略是否与以下策略相符。

以下信任策略通过允许账户 C 执行 sts:AssumeRole 操作，与它建立信任。有关更多信息，请参阅《AWS Security Token Service API 参考》中的 AssumeRole。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

记下您创建的 examplerole 角色的 Amazon 资源名称（ARN）。

稍后在以下步骤中，您附加一个用户策略以允许 IAM 用户担任此角色，并通过 ARN 值标识角色。

首先使用账户 C 的 IAM 用户登录 URL，以 AccountCadmin 用户身份登录 AWS Management Console。

在 IAM 控制台中，创建用户 Dave。

有关分步说明，请参阅《IAM 用户指南》中的创建 IAM 用户（AWS Management Console）。

记下 Dave 的凭证。Dave 需要这些凭证才能担任 examplerole 角色。

为 IAM 用户 Dave 创建一个内联策略，向 Dave 委派担任账户 A 中的 examplerole 角色的 sts:AssumeRole 权限。

1. 在左侧导航窗格中，请选择用户。

2. 请选择用户名 Dave。

3. 在用户详细信息页面上，选择 Permissions (权限) 选项卡，然后展开 Inline Policies (内联策略) 部分。

4. 请选择 click here (单击此处) (或 Create User Policy (创建用户策略))。

5. 选择 Custom Policy，然后选择 Select。

6. 在 Policy Name (策略名称) 字段中为策略输入一个名称。

7. 将以下策略复制到 Policy Document (策略文档) 字段中。

   您必须提供 AccountA-ID 来更新策略。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. 选择应用策略。

通过添加另一个配置文件 AccountCDave 将 Dave 的凭证保存到 AWS CLI 的配置文件。

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

在命令提示符处，使用 AccountCDave 配置文件运行下面的 AWS CLI assume-role 命令。

您必须通过提供 AccountA-ID（其中定义了 examplerole）在命令中更新 ARN 值。

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

在响应中，AWS Security Token Service（AWS STS）返回临时安全凭证（访问密钥 ID、秘密访问密钥和会话令牌）。

将临时安全凭证保存在 AWS CLI 配置文件中的 TempCred 配置文件下。

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

在命令提示符处，使用临时凭证运行以下 AWS CLI 命令以访问对象。例如，该命令指定 head-object API 以检索 HappyFace.jpg 对象的对象元数据。

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

因为附加到 examplerole 的访问策略允许执行这些操作，所以 Amazon S3 会处理请求。您可以对存储桶中的任何其他对象尝试任何其他操作。

如果您尝试任何其它操作（例如 get-object-acl），则系统会拒绝权限，因为不允许角色执行该操作。

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

我们使用用户 Dave 担任角色，并使用临时凭证访问对象。它还可以是账户 C 中访问 amzn-s3-demo-bucket1 中的对象的应用程序。应用程序可以获取临时安全凭证，账户 C 可以向应用程序委托担任 examplerole 的权限。

完成测试之后，您可以执行以下操作来进行清理：

1. 使用账户 A 凭证登录 AWS Management Console，并执行以下操作：

   • 在 Amazon S3 控制台中，移除附加到 amzn-s3-demo-bucket1 的存储桶策略。在存储桶 Properties（属性）中，删除 Permissions（权限）部分中的策略。

   • 如果该存储桶是为此练习而创建的，请在 Amazon S3 控制台中删除对象，然后删除存储桶。

   • 在 IAM 控制台中，删除您在账户 A 中创建的 examplerole。有关分步说明，请参阅《IAM 用户指南》中的删除 IAM 用户。

   • 在 IAM 控制台中，移除 AccountAadmin 用户。

使用账户 B 凭证登录 IAM 控制台。删除用户 AccountBadmin。

使用账户 C 凭证登录 IAM 控制台。删除 AccountCadmin 和用户 Dave。