是否可以跨賬戶 Kinesis Firehose？

Question

賬戶 A 是我在其中創建 Kinesis 流的應用程序賬戶，我想在賬戶 B 中創建 Firehose 以從賬戶 A 的 Kinesis 流中讀取。 這可能嗎？ 我嘗試按照（ https://medium.com/upday-devs/configure-kcl-to-read-from-a-different-aws-account-16000b26e7ff ）中的步驟操作並創建了一個外部訪問角色（比如'arn :aws:iam::111111111:role/External-Kinesis-Access') 在賬戶 A 中，只需指定 ARN

  KinesisStreamSourceConfiguration:
    KinesisStreamARN:
      Ref: KinesisSourceStreamARN
    RoleARN: 'arn:aws:iam::111111111:role/External-Kinesis-Access'

但這會導致錯誤：IAM 角色和 Kinesis 流應該屬於同一個賬戶。

我嘗試使用 sts:AssumeRole，但這會導致不同的錯誤：“不允許跨賬戶傳遞角色”。

因此，似乎不支持通過 Firehose 進行跨帳戶流式傳輸。 我還發現了這個： https : //forums.aws.amazon.com/thread.jspa?threadID=249458這讓我相信它不受支持。

如果是這種情況，有什么解決方法？ 在賬戶 A 中創建 Lambda 函數以寫入賬戶 B 中的 Firehose？

Answer 1

可以按照您的建議使用 lambda 函數。 這里還有一個教程： https : //medium.com/faun/quicksolutions-cross-account-use-lambda-to-write-to-firehose-in-another-aws-account-38bc4270a348

這將導致 lambda 執行的額外成本。 如果您只想將數據保存到 S3，您也可以將 Firehose 配置為寫入另一個帳戶中的 S3 存儲桶： https ://docs.aws.amazon.com/firehose/latest/dev/controlling-access.html#cross -account-delivery-s3和https://blog.fajri.my.id/post/aws-kinesis-firehose-cross-account-bucket/