AWS EC2 访问被拒绝 S3 跨账户

Question

我有两个aws帐户A和B。

在账户 A 中，我有一个 EC2 在一个私有子网中的一个 vpc 内运行，该子网开启了 NAT。 此 EC2 具有以下作用：

AWS 账户 A - EC2 角色 受信任实体：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Principal": {
            "Service": "ec2.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
    }
]

}

AWS 账户 A - EC2 角色策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::ACCOUNT-B-NUMBER:role/aws-access-s3"
        }
    ]
}

在账户 B 中，我创建了一个 aws 账户角色，传递了 aws 账户 A 编号。

AWS 账户 B - 角色 aws-access-s3 可信实体：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::ACCOUNT-A-NUMBER:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

AWS 账户 B - 角色 aws-access-s3 策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:*",
                "s3-object-lambda:*"
            ],
            "Resource": "*"
        }
    ]
}

这些是我的设置，当我尝试运行命令以在账户 A 的 ec2 中列出账户 B 存储桶时，出现错误：

aws s3 ls bucket-name-account-b

回报：

An error occurred (AccessDenied) when calling the ListObjectsV2 operation: Access Denied

我不知道我错过了什么，我希望有人能帮助我。

Answer 1

您需要创建一个配置文件以使此过程自动化。 您可以将以下内容添加到您的.aws/config文件中

[profile mys3profile]
region = $region
output = json

并将以下内容添加到您的.aws/credentials文件中。

[mys3profile]   
role_arn = arn:aws:iam::accountb:role/yourrole
credential_source = Ec2InstanceMetadata