在跨 AWS 账户中创建 CloudFront 失效

Question

我有两个 AWS 账户（例如账户 A 和账户 B）。 我创建了一个用户，并附加了一个策略（客户管理），该用户在帐户 A 中具有以下权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "cloudfront:CreateInvalidation",
            "Resource": "arn:aws:cloudfront::{ACCOUNT-B_ACCOUNT-ID-WITHOUT-HYPHENS}:distribution/{ACCOUNT_B-CF-DISTRIBUTION-ID}"
        }
    ]
}

从 AWS-CLI（使用账户 A 的用户配置），我正在尝试为账户 B 中的上述 CF 分配 ID 创建失效。我的访问被拒绝。

我们是否需要任何其他权限来为不同 AWS 账户中的 CF 分配创建失效？

Answer 1

我已经能够成功地执行从我的 CodePipeline 账户 (TOOLS) 到我的应用程序 (APP) 账户的跨账户 CloudFront 失效。 我通过执行如下的 Lambda 操作来实现这一点：

1. CodePipeline 启动一个部署阶段，我称之为Invalidate
2. Stage 使用以下 UserParameters 运行 Lambda 函数：
   • 创建失效时要承担的APP帐户角色Arn。
   • APP 账户中 CloudFront 分配的 ID。
   • 要失效的路径。
3. Lambda 函数配置为使用 TOOLS 账户中的角色运行，该角色可以从 APP 账户sts:AssumeRole角色。
4. APP 帐户角色允许由 TOOLS 帐户承担并允许创建失效（ "cloudfront:GetDistribution","cloudfront:CreateInvalidation" ）。
5. Lambda 函数执行并承担 APP 帐户角色。 使用APP账户角色提供的凭证，开始失效。
6. 当失效开始时，Lambda 函数会放置一个成功的作业结果。

不直接支持跨账户失效是困难和不幸的。 但它确实有效！

Answer 2

跨账户访问仅适用于少数 AWS 服务，例如 Amazon Simple Storage Service (S3) 存储桶、S3 Glacier 保管库、Amazon Simple Notification Service (SNS) 主题和 Amazon Simple Queue Service (SQS) 队列。

参考： https : //docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html （跨账户访问部分的角色）