通过CloudFormation CLi跨账户S3访问

Question

我尝试通过运行以下命令，使用AWS CLI创建CloudFormation堆栈：

aws cloudformation create-stack --debug --stack-name ${stackName} --template-url ${s3TemplatePath} --parameters '${parameters}' --region eu-west-1

模板驻留在另一个账户的S3桶中，我们称这个账户为456。存储桶策略:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::123:root"
                ]
            },
            "Action": [
                "s3:*"
            ],
            "Resource": "arn:aws:s3:::cloudformation.template.eberry.digital/*"
        }
    ]
}

（“操作： * ”用于调试）。

现在来扭转一下。我登录到帐户456并运行

aws sts assume-role --role-arn arn:aws:iam::123:role/delegate-access-to-infrastructure-account-role --role-session-name jenkins

并将正确的环境变量设置为访问123。附加到角色的策略允许用户在调试时进行管理员访问，但仍然不起作用。

aws s3api list-buckets

然后显示账户 123 中的存储桶。

总结一下：

• 在账户 456 拥有的 S3 存储桶中指定模板，在控制台的 CloufFormation 中指定模板，同时登录到账户 123 有效。
• 使用 CLI 在账户 123 拥有的 S3 存储桶中指定模板是有效的。
• 使用 CLI 在账户 456 拥有的 S3 存储桶中指定模板不起作用。

错误:

调用CreateStack操作时发生错误（ValidationError）：S3错误：拒绝访问有关详细信息，请检查http://docs.aws.amazon.com/AmazonS3/latest/API/ErrorResponses.html

我不明白我做错了什么，我会感激任何想法。同时，我会将模板上传到所有使用它的帐户。

Answer 1

Amazon S3通过使用存储桶策略提供跨帐户访问。这些是IAM资源策略（应用于资源（在本例中为S3存储桶），而不是IAM主体：用户、组或角色）。您可以在Amazon S3开发人员指南中阅读有关Amazon S3如何授权访问的更多信息。

我对哪个账户是哪个账户有点困惑，所以我只想说，当您想将模板部署在一个AWS账户拥有的存储桶中作为不同AWS账户中的堆栈时，您需要此存储桶策略。例如，模板位于AWS账户111111111111拥有的存储桶中，您想使用该模板在AWS账户222222222222中部署堆栈。在这种情况下，您需要登录到账户222222222222并将该账户指定为存储桶策略中的主体。

以下是提供对另一个 AWS 账户的访问权限的示例存储桶策略;我在我自己的 CloudFormation 模板存储桶上使用它。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AWS_ACCOUNT_ID_WITHOUT_HYPHENS:root"
      },
      "Action": [
        "s3:GetBucketLocation",
        "s3:GetObject",
        "s3:GetObjectTagging",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::S3_BUCKET_NAME",
        "arn:aws:s3:::S3_BUCKET_NAME/*"
      ]
    }
  ]
}

您需要使用12位帐户标识符作为您想要访问的AWS帐户，以及S3存储桶的名称(您可能会使用< code>"Resource": "*"，但是我没有测试过)。