跨 Amazon 账户访问 DAX

使用以下内容创建一个名为 AssumeDaxRoleTrust.json 的文本文件，允许 Amazon EC2 代表您工作。

在账户 B 中，创建一个启动实例时 Amazon EC2 可以使用的角色。

aws iam create-role \
    --role-name AssumeDaxRole \
    --assume-role-policy-document file://AssumeDaxRoleTrust.json

使用以下内容创建一个名为 AssumeDaxRolePolicy.json 的文本文件，从而允许在账户 B 中的 EC2 实例上运行的代码代入账户 A 中的 IAM 角色。将 accountA 替换为账户 A 的实际 ID。

将该策略添加到您刚刚创建的角色。

aws iam put-role-policy \
    --role-name AssumeDaxRole \
    --policy-name AssumeDaxRolePolicy \
    --policy-document file://AssumeDaxRolePolicy.json

创建实例配置文件以允许实例使用该角色。

aws iam create-instance-profile \
    --instance-profile-name AssumeDaxInstanceProfile

将该角色与实例配置文件关联。

aws iam add-role-to-instance-profile \
    --instance-profile-name AssumeDaxInstanceProfile \
    --role-name AssumeDaxRole

使用以下内容创建一个名为 DaxCrossAccountRoleTrust.json 的文本文件，这将允许账户 B 代入账户 A 角色。将 accountB 替换为账户 B 的实际 ID。

在账户 A 中，创建账户 B 可代入的角色。

aws iam create-role \
    --role-name DaxCrossAccountRole \
    --assume-role-policy-document file://DaxCrossAccountRoleTrust.json

创建一个名为 DaxCrossAccountPolicy.json 的文本文件来允许访问 DAX 集群。将 dax-cluster-arn 替换为 DAX 集群的正确 Amazon Resource Name (ARN)。

在账户 A 中，将策略添加到角色。

aws iam put-role-policy \
    --role-name DaxCrossAccountRole \
    --policy-name DaxCrossAccountPolicy \
    --policy-document file://DaxCrossAccountPolicy.json

查找账户 A 的 DAX 集群的子网组。将 cluster-name 替换为账户 B 必须访问的 DAX 集群的名称。

aws dax describe-clusters \
    --cluster-name cluster-name
    --query 'Clusters[0].SubnetGroup'

使用该 subnet-group 查找集群的 VPC。

aws dax describe-subnet-groups \
    --subnet-group-name subnet-group \
    --query 'SubnetGroups[0].VpcId'

使用该 vpc-id 查找 VPC 的 CIDR。

aws ec2 describe-vpcs \
    --vpc vpc-id \
    --query 'Vpcs[0].CidrBlock'

从账户 B 中，使用与上一步中找到的 CIDR 不重叠的其他 CIDR 创建 VPC。然后，创建至少一个子网。您可以使用 Amazon Web Services Management Console 或 Amazon CLI 的 VPC 创建向导。

从账户 B 中，请求与账户 A VPC 的对等连接，如创建并接受 VPC 对等连接中所述。从账户 A 中，接受连接。

从账户 B 中，查找新 VPC 的路由表。将 vpc-id 替换为您在账户 B 中创建的 VPC 的 ID。

aws ec2 describe-route-tables \
    --filters 'Name=vpc-id,Values=vpc-id' \
    --query 'RouteTables[0].RouteTableId'

添加一条路由，以将发送到账户 A 的 CIDR 的流量发送到 VPC 对等连接。请记住，将每个用户输入占位符替换为您帐户的正确值。

aws ec2 create-route \
    --route-table-id accountB-route-table-id \
    --destination-cidr accountA-vpc-cidr \
    --vpc-peering-connection-id peering-connection-id

在账户 A 中，使用之前找到的 vc-id 查找 DAX 集群路由表。

aws ec2 describe-route-tables \
    --filters 'Name=vpc-id, Values=accountA-vpc-id' \
    --query 'RouteTables[0].RouteTableId'

在账户 A 中，添加一条路由以将发送到账户 B 的 CIDR 的流量发送到 VPC 对等连接。将每个用户输入占位符替换为您账户的正确值。

aws ec2 create-route \
    --route-table-id accountA-route-table-id \
    --destination-cidr accountB-vpc-cidr \
    --vpc-peering-connection-id peering-connection-id

从账户 B 中，在您之前创建的 VPC 中启动 EC2 实例。为它提供 AssumeDaxInstanceProfile。可以使用 Amazon Web Services Management Console 或 Amazon CLI 的启动向导。记下实例的安全组。

在账户 A 中，查找 DAX 集群使用的安全组。请记住将 cluster-name 替换为您的 DAX 集群的名称。

aws dax describe-clusters \
    --cluster-name cluster-name \
    --query 'Clusters[0].SecurityGroups[0].SecurityGroupIdentifier'

更新 DAX 集群的安全组，允许来自您在账户 B 中创建的 EC2 实例安全组的入站流量。请记住将用户输入占位符替换为您账户的正确值。

aws ec2 authorize-security-group-ingress \
    --group-id accountA-security-group-id \
    --protocol tcp \
    --port 8111 \
    --source-group accountB-security-group-id \
    --group-owner accountB-id