S3 Access Grants 跨账户访问

利用 S3 Access Grants，您可以授予 Amazon S3 对以下内容的数据访问权限：

首先，为另一个账户配置跨账户访问。这包括使用资源策略授予对 S3 Access Grants 实例的访问权限。然后，使用授权来授予对您的 S3 数据（存储桶、前缀或对象）的访问权限。

配置跨账户访问后，另一个账户可以从 S3 Access Grants 中请求对您的 Amazon S3 数据的临时访问凭证。下图显示了通过 S3 Access Grants 进行跨账户 S3 访问的用户流程：

配置 S3 Access Grants 跨账户访问

要通过 S3 Access Grants 授予跨账户 S3 访问权限，请执行以下步骤：

步骤 1：在您的账户中配置 S3 Access Grants 实例

首先，您的账户 111122223333 中必须有 S3 Access Grants 实例，才能管理对 Amazon S3 数据的访问权限。您必须在存储您要共享的 S3 数据的每个 Amazon Web Services 区域中创建一个 S3 Access Grants 实例。如果您要在多个 Amazon Web Services 区域中共享数据，请为每个 Amazon Web Services 区域重复每个配置步骤。如果您在存储 S3 数据的 Amazon Web Services 区域中已经有一个 S3 Access Grants 实例，请继续下一步。如果您尚未配置 S3 Access Grants 实例，请参阅创建 S3 Access Grants 实例来完成此步骤。

步骤 2：配置 S3 Access Grants 实例的资源策略来授予跨账户访问权限

在您的账户 111122223333 中创建 S3 Access Grants 实例来进行跨账户访问后，请为您的账户 111122223333 中的 S3 Access Grants 实例配置基于资源的策略，来授予跨账户访问权限。S3 Access Grants 实例本身支持基于资源的策略。有了正确的基于资源的策略，您就可以向其它 Amazon Web Services 账户中的 Amazon Identity and Access Management（IAM）用户或角色授予对 S3 Access Grants 实例的访问权限。跨账户访问仅授予以下权限（操作）：

您可以选择将其中哪些权限包含在资源策略中。S3 Access Grants 实例上的此资源策略是基于资源的普通策略，支持 IAM 策略语言支持的所有内容。在同一个策略中，例如，您可以使用 aws:PrincipalArn 条件向您的账户 111122223333 中的特定 IAM 身份授予访问权限，而不必使用 S3 Access Grants 执行此操作。相反，在您的 S3 Access Grants 实例中，您可以为您账户中的单个 IAM 身份以及其它账户创建授权。通过使用 S3 Access Grants 管理每个访问授权，您可以扩展权限。

如果您已经使用 Amazon Resource Access Manager（Amazon RAM），您可以使用它与其它账户或在您的组织内共享您的 s3:AccessGrants 资源。有关更多信息，请参阅使用共享的 Amazon 资源。如果您不使用 Amazon RAM，也可以使用 S3 Access Grants API 操作或 Amazon Command Line Interface（Amazon CLI）来添加资源策略。

{
"Version": "2012-10-17",
"Statement": [
{
	"Effect": "Allow", 
	"Principal": {
	"AWS": "444455556666"
}, 
	"Action": [
		"s3:ListAccessGrants",
		"s3:ListAccessGrantsLocations",
		"s3:GetDataAccess",
		"s3:GetAccessGrantsInstanceForPrefix"
	],
	"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
} ]
}

	aws s3control put-access-grants-instance-resource-policy \
	--account-id 111122223333 \
	--policy file://resourcePolicy.json \
	--region us-east-2
	{
		"Policy": "{\n 
		  \"Version\": \"2012-10-17\",\n 
		  \"Statement\": [{\n  
			\"Effect\": \"Allow\",\n
			\"Principal\": {\n
			  \"AWS\": \"444455556666\"\n
			},\n  
			\"Action\": [\n
			  \"s3:ListAccessGrants\",\n
			  \"s3:ListAccessGrantsLocations\",\n
			  \"s3:GetDataAccess\",\n
			  \"s3:GetAccessGrantsInstanceForPrefix\"\n
			],\n
			\"Resource\": \"arn:aws:s3:us-east-2:111122223333:access-grants/default\"\n
		   }\n  
		  ]\n
		  }\n",
		"CreatedAt": "2023-06-16T00:07:47.473000+00:00"
	}

aws s3control get-access-grants-instance-resource-policy \
--account-id 111122223333 \
--region us-east-2

{
"Policy": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Amazon\":\"arn:aws:iam::111122223333:root\"},\"Action\":[\"s3:ListAccessGrants\",\"s3:ListAccessGrantsLocations\",\"s3:GetDataAccess\"],\"Resource\":\"arn:aws:s3:us-east-2:111122223333:access-grants/default\"}]}",
"CreatedAt": "2023-06-16T00:07:47.473000+00:00"
}

aws s3control delete-access-grants-instance-resource-policy \
--account-id 111122223333 \
--region us-east-2

// No response body

{
"Version": "2012-10-17",
"Statement": [
{
	"Effect": "Allow", 
	"Principal": {
	"AWS": "444455556666"
}, 
	"Action": [
		"s3:ListAccessGrants",
		"s3:ListAccessGrantsLocations",
		"s3:GetDataAccess",
		"s3:GetAccessGrantsInstanceForPrefix"
	],
	"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
} ]
}

步骤 3：向第二个账户中的 IAM 身份授予在您的账户中调用 S3 Access Grants 实例的权限

在 Amazon S3 数据的拥有者为账户 111122223333 中的 S3 Access Grants 实例配置跨账户策略后，第二个账户 444455556666 的拥有者必须为其 IAM 用户或角色创建基于身份的策略，并且拥有者必须向他们授予访问 S3 Access Grants 实例的权限。在基于身份的策略中，包括以下一项或多项操作，具体取决于在 S3 Access Grants 实例资源策略中授予的权限以及您要授予的权限：

按照 Amazon 跨账户访问模式，第二个账户 444455556666 中的 IAM 用户或角色必须显式拥有此类权限中的一个或多个。例如，授予 s3:GetDataAccess 权限，以便 IAM 用户或角色可以在账户 111122223333 中调用 S3 Access Grants 实例来请求凭证。

要使用此示例命令，请将 user input placeholders 替换为您自己的信息。

{
	"Version": "2012-10-17",
	"Statement": [
	{
		"Effect": "Allow", 
		"Action": [
			"s3:GetDataAccess",
		],
			"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
		} 
	]
}

有关编辑基于 IAM 身份的策略的信息，请参阅《Amazon Identity and Access Management 指南》中的 Editing IAM policies。

步骤 4：在您的账户的 S3 Access Grants 实例中创建授权，来向第二个账户中的 IAM 身份授予访问您的某些 S3 数据的权限

对于最后的配置步骤，您可以在您账户 111122223333 中的 S3 Access Grants 实例中创建一个授权，来向第二个账户 444455556666 中的 IAM 身份授予访问您的账户中某些 S3 数据的权限。您可以使用 Amazon S3 控制台、CLI、API 和 SDK 实现此目的。有关更多信息，请参阅 创建授权。

在授权中，指定第二个账户中 IAM 身份的 Amazon ARN，并指定 S3 数据中您要授予访问权限的具体位置（存储桶、前缀或对象）。此位置必须已在 S3 Access Grants 实例中注册。有关更多信息，请参阅 注册位置。您可以选择指定子前缀。例如，如果您授予访问权限的位置是存储桶，并且您想进一步限制对该存储桶中特定对象的访问权限，则在 S3SubPrefix 字段中传递对象键名称。或者，如果您想使用以特定前缀（例如 2024-03-research-results/）开头的键名称来限制对存储桶中对象的访问权限，则传递 S3SubPrefix=2024-03-research-results/。

以下是用于为第二个账户中的身份创建访问授权的 CLI 命令示例。请参阅创建授权了解更多信息。要使用此示例命令，请将 user input placeholders 替换为您自己的信息。

aws s3control create-access-grant \
--account-id 111122223333 \
--access-grants-location-id default \
--access-grants-location-configuration S3SubPrefix=prefixA* \
--permission READ \
--grantee GranteeType=IAM,GranteeIdentifier=arn:aws:iam::444455556666:role/data-consumer-1

配置跨账户访问后，第二个账户中的用户或角色可以执行以下操作：