範例 2：授予跨帳戶儲存貯體許可的儲存貯體擁有者

1. 請確定您有兩個帳戶， AWS 帳戶 而且每個帳戶都有一個系統管理員使用者，如前一節的表格所示。

   1. 如果需要 AWS 帳戶，請註冊。

   2. 使用帳戶 A 憑證來登入 IAM 主控台，建立管理員使用者：

      1. 創建用戶AccountAadmin並記下安全憑據。如需說明，請參閱《IAM 使用者指南》中的在 AWS 帳戶中建立 IAM 使用者。

      2. 附加提供完整存取權AccountAadmin的使用者原則，以授予管理員權限。如需說明，請參閱《IAM 使用者指南》中的使用政策。

   3. 當您在 IAM 主控台中時，請記下儀表板上的 IAM 使用者登入 URL。登入 AWS Management Console時，帳戶中的所有使用者都必須使用此 URL。

      如需詳細資訊，請參閱《IAM 使用者指南》中的使用者如何登入您的帳戶。

   4. 使用帳戶 B 認證重複上述步驟，並建立系統管理員使用者AccountBadmin。

2. 設定 AWS Command Line Interface (AWS CLI) 或 AWS Tools for Windows PowerShell. 請確定您儲存系統管理員使用者認證，如下所示：

   • 如果使用 AWS CLI，請建立兩個設定檔AccountBadmin，AccountAadmin並在組態檔案中建立。

   • 如果使用 AWS Tools for Windows PowerShell，請確定您將工作階段的認證儲存為AccountAadmin和AccountBadmin。

   如需說明，請參閱設定逐步解說的工具。

3. 儲存管理員使用者憑證 (也稱為描述檔)。您可以使用描述檔名稱，而不是為所輸入的每個命令指定憑證。如需詳細資訊，請參閱 設定逐步解說的工具。

   1. 在每個管理員使用者的 AWS CLI 認證檔案中新增設定檔AccountBadmin，AccountAadmin並在兩個帳戶中新增設定檔。

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. 如果您使用的是 AWS Tools for Windows PowerShell，請執行下列命令。

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. 在 Amazon S3 主控台中建立儲存貯體。本練習假設值區是在美國東部 (維吉尼亞北部) 建立 AWS 區域 並命名的DOC-EXAMPLE-BUCKET。

   如需說明，請參閱建立儲存貯體。

2. 將範例物件上傳至儲存貯體。

   如需取得說明，請前往 步驟 2：將物件上傳至您的儲存貯體。

1. 將下列儲存貯體政策連接至 DOC-EXAMPLE-BUCKET。政策會將 s3:GetLifecycleConfiguration 與 s3:ListBucket 動作的許可授予帳戶 B。

   如需說明，請參閱使用 Amazon S3 主控台新增儲存貯體政策。

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
            ]
         }
      ]
   }

2. 確認帳戶 B (以及其系統管理員使用者) 可以執行作業。

   • 使用驗證 AWS CLI

     aws s3 ls s3://DOC-EXAMPLE-BUCKET --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket DOC-EXAMPLE-BUCKET --profile AccountBadmin

   • 使用驗證 AWS Tools for Windows PowerShell

     get-s3object -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBadmin

使用測試權限 AWS CLI

1. 將配置文UserDave件添加到 AWS CLI 配置文件中。如需組態檔的詳細資訊，請參閱「設定逐步解說的工具」。

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. 在命令提示字元中，輸入下列 AWS CLI 命令以確認 Dave 現在可以從帳戶 A DOC-EXAMPLE-BUCKET 所擁有的物件清單中取得物件清單。請注意指定設定UserDave檔的命令。

   aws s3 ls s3://DOC-EXAMPLE-BUCKET --profile UserDave

   戴夫沒有任何其他權限。因此，如果他嘗試任何其他操作（例如，下面的get-bucket-lifecycle配置），Amazon S3 將返回被拒絕的權限。

   aws s3api get-bucket-lifecycle-configuration --bucket DOC-EXAMPLE-BUCKET --profile UserDave

使用測試權限 AWS Tools for Windows PowerShell

1. 將戴夫的憑據存儲為AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. 嘗試列出儲存貯體命令。

   get-s3object -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBDave

   戴夫沒有任何其他權限。因此，如果他嘗試任何其他操作（例如，以下操作），get-s3bucketlifecycleconfigurationAmazon S3 將返回被拒絕的權限。

   get-s3bucketlifecycleconfiguration -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBDave

1. 完成測試後，您可以執行以下操作來清理：

   1. 使用帳戶 A 認證登入 AWS Management Console (AWS Management Console)，然後執行下列動作：

      • 在 Amazon S3 主控台中，移除連接至 DOC-EXAMPLE-BUCKET 的儲存貯體政策。在儲存貯體 Properties (屬性) 中，刪除 Permissions (許可) 區段中的政策。

      • 如果儲存貯體是為此練習而建立，請在 Amazon S3 主控台中刪除物件，然後刪除儲存貯體。

      • 在 IAM 主控台中，移除使AccountAadmin用者。

2. 使用帳戶 B 登入資料登入 IAM 主控台。刪除使用者AccountBadmin。如需 step-by-step 指示，請參閱 IAM 使用者指南中的刪除 IAM 使用者。