範例 2：授予跨帳戶儲存貯體許可的儲存貯體擁有者

1. 請確定您有兩個 ， AWS 帳戶 而且每個帳戶都有一個管理員使用者，如上一節的表格所示。

   1. 如有需要 AWS 帳戶，請註冊 。

   2. 使用帳戶 A 憑證來登入 IAM 主控台，建立管理員使用者：

      1. 建立使用者 AccountAadmin，並記下安全憑證。如需說明，請參閱《IAM 使用者指南》中的在 AWS 帳戶中建立 IAM 使用者。

      2. 連接給予完整存取權的使用者政策，以授予 AccountAadmin 管理員權限。如需說明，請參閱《IAM 使用者指南》中的使用政策。

   3. 當您位於 IAM 主控台時，請記下儀表板上的 IAM 使用者登入 URL。登入 AWS Management Console時，帳戶中的所有使用者都必須使用此 URL。

      如需詳細資訊，請參閱《IAM 使用者指南》中的使用者如何登入您的帳戶。

   4. 使用帳戶 B 憑證重複前一個步驟，並建立管理員使用者 AccountBadmin。

2. 設定 AWS Command Line Interface (AWS CLI) 或 AWS Tools for Windows PowerShell。確定依照下列方式儲存管理員使用者憑證：

   • 如果使用 AWS CLI，請在組態檔案中建立兩個設定檔AccountBadmin，AccountAadmin以及 。

   • 如果使用 AWS Tools for Windows PowerShell，請確定您將工作階段的登入資料儲存為 AccountAadmin和 AccountBadmin。

   如需說明，請參閱 為逐步解說設定工具。

3. 儲存管理員使用者憑證 (也稱為描述檔)。您可以使用描述檔名稱，而不是為所輸入的每個命令指定憑證。如需詳細資訊，請參閱為逐步解說設定工具。

   1. 在 AWS CLI 登入資料檔案中新增每個管理員使用者的設定檔，AccountAadmin並在AccountBadmin兩個帳戶中新增 。

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. 如果您使用 AWS Tools for Windows PowerShell，請執行下列命令。

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. 在 Amazon S3 主控台中建立儲存貯體。此練習假設儲存貯體是在美國東部 （維吉尼亞北部） 建立 AWS 區域 ，且名為 。 amzn-s3-demo-bucket

   如需說明，請參閱 建立儲存貯體。

2. 將範例物件上傳至儲存貯體。

   如需取得說明，請前往 步驟 2：將物件上傳至您的儲存貯體。

1. 將下列儲存貯體政策連接至 amzn-s3-demo-bucket。政策會將 s3:GetLifecycleConfiguration 與 s3:ListBucket 動作的許可授予帳戶 B。

   如需說明，請參閱 使用 Amazon S3 主控台新增儲存貯體政策。

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }

2. 驗證帳戶 B (與其管理員使用者) 可以執行操作。

   • 使用 驗證 AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • 使用 驗證 AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

使用 測試許可 AWS CLI

1. 將UserDave設定檔新增至 AWS CLI 組態檔案。如需組態檔的詳細資訊，請參閱「為逐步解說設定工具」。

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. 在命令提示中，輸入下列 AWS CLI 命令，確認 Dave 現在可從帳戶 A amzn-s3-demo-bucket擁有的 取得物件清單。請注意，命令會指定UserDave設定檔。

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave 不會有任何其他許可。因此，如果他嘗試任何其他操作 (例如下列 get-bucket-lifecycle 組態)，則 Amazon S3 會傳回許可遭拒。

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

使用 測試許可 AWS Tools for Windows PowerShell

1. 以 AccountBDave 身分儲存 Dave 的憑證。

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. 嘗試列出儲存貯體命令。

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave 不會有任何其他許可。因此，如果他嘗試任何其他操作 (例如下列 get-s3bucketlifecycleconfiguration)，則 Amazon S3 會傳回許可遭拒。

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. 完成測試之後，您可以執行下列步驟進行清除：

   1. 使用帳戶 A 登入資料登入 AWS Management Console (AWS Management Console)，然後執行下列動作：

      • 在 Amazon S3 主控台中，移除連接至 amzn-s3-demo-bucket 的儲存貯體政策。在儲存貯體 Properties (屬性) 中，刪除 Permissions (許可) 區段中的政策。

      • 如果儲存貯體是為此練習而建立，請在 Amazon S3 主控台中刪除物件，然後刪除儲存貯體。

      • 在 IAM 主控台中，移除 AccountAadmin 使用者。

2. 使用帳戶 B 憑證登入 IAM 主控台。刪除使用者 AccountBadmin。如需逐步說明，請參閱《IAM 使用者指南》中的刪除 IAM 使用者。