如何从帐户1在帐户2中创建记录集

Question

我试图创建一个路由53记录集从帐户1在帐户2.

通过阅读其他帖子和在线搜索，我想做这样的事情：

from boto3 import Session

session = Session(aws_access_key_id=*****,aws_secret_access_key=****,region_name='us-east-1')
r53_client = session.client('route53')
r53_resource = session.resource('route53')

想从有经验的人那里知道这是否是正确的方法吗？或者有没有更好的方法来实现上面？

更新代码如下：

def lambda_handler(event, context):
    sts = boto3.client('sts')
    response = sts.assume_role(
        RoleArn='arn:aws:iam::***123:role/lambda',
        RoleSessionName='my-random-session-name',
        DurationSeconds= 900 # how many seconds these credentials will work
    )

    tempAccessKeyId = response['Credentials']['AccessKeyId']
    tempSecretAccessKey = response['Credentials']['SecretAccessKey']
    tempSessionToken = response['Credentials']['SessionToken']

    client = boto3.client('route53', 
                  region_name = 'us-west-2',
                  aws_access_key_id=tempAccessKeyId,
                  aws_secret_access_key=tempSecretAccessKey,
                  aws_session_token=tempSessionToken)


    response = client.list_resource_record_sets(
    HostedZoneId='***',
    StartRecordName='test.example.com.',
    StartRecordType='A'
    )

    print(response)

Answer 1

要对AWS帐户进行API调用，您需要来自该AWS帐户的凭据（例如与IAM用户关联的凭据），或者需要能够在该帐户中担任IAM角色。

因此，在您的示例中，如果提供的凭据属于Account2，那么您将能够对Account2进行API调用（如果IAM用户已被授予必要的Route 53权限）。

如果您经常在帐户之间移动，您可以指定一个配置文件，它从凭据文件中检索一组不同的凭据。

请参阅：python-如何在使用boto3连接到云前线时选择AWS配置文件-堆栈溢出

Answer 2

基于您是通过AWS Lambda函数执行此操作的事实，最安全的方法是：

• 在账户1中：

• 创建一个具有信任权限的IAM角色（Role 2），允许帐户1中的Role 1假设它
• 授予角色2适当的权限来使用亚马逊路由53

在您的Lambda代码中，您可以在角色2上调用AssumeRole（）。这将提供一组临时凭据，可用于访问帐户2（根据上面的代码）。

请参阅：切换到IAM角色（AWS API）-AWS标识和访问管理