Athena 中对 Amazon S3 存储桶的跨账户访问

向账户 B 中的用户授予对账户 A 中存储桶的访问权限

• 在账户 A 中，查看 S3 存储桶策略并确认存在允许从账户 B 的账户 ID 访问的语句。

  例如，以下存储桶策略允许 s3:GetObject 访问账户 ID 111122223333：

  {
    "Id": "ExamplePolicy1",
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "ExampleStmt1",
        "Action": [
          "s3:GetObject"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:s3:::awsexamplebucket/*",
        "Principal": {
          "AWS": [
            "111122223333"
          ]
        }
      }
    ]
  }

从账户 A 中的 Amazon KMS 密钥策略向账户 B 中的用户授予访问权限

1. 在账户 A 的 Amazon KMS 密钥策略中，向账户 B 中的用户授予执行以下操作的权限：

   • kms:Encrypt

   • kms:Decrypt

   • kms:ReEncrypt*

   • kms:GenerateDataKey*

   • kms:DescribeKey

   以下示例仅向一个 IAM 用户或角色授予密钥访问权限。

   {
      "Sid": "Allow use of the key",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:role/role_name",
        ]
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
   }

2. 从账户 A 中，查看密钥策略使用Amazon Web Services Management Console策略视图。

3. 在密钥策略中，验证以下语句是否将账户 B 列为委托人。

   "Sid": "Allow use of the key" 

4. 如果 "Sid": "Allow use of the key" 语句不存在，请执行以下步骤：

   1. 切换到使用控制台默认视图查看密钥策略。

   2. 将账户 B 的账户 ID 添加为可访问密钥的外部账户。

从账户 B 的 IAM 用户策略授予对账户 A 中存储桶和密钥的访问权限

1. 在账户 B 中，通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 打开与账户 B 中的用户关联的 IAM 用户或角色。

3. 查看应用于 IAM 用户或角色的权限策略列表。

4. 确保应用授予对存储桶的访问权限的策略。

   以下示例语句授予 IAM 用户对s3:GetObject和s3:PutObject存储桶上的操作awsexamplebucket：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "ExampleStmt2",
         "Action": [
           "s3:GetObject",
           "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:s3:::awsexamplebucket/*"
       }
     ]
   }

5. 确保应用授予对密钥的访问权限的策略。

   注意

   如果账户 B 中的 IAM 用户或角色已经具有管理员访问，那么您不需要从用户的 IAM 策略授予对密钥的访问权限。

   以下示例语句授予 IAM 用户使用密钥的权限arn:aws:kms:example-region-1:123456789098:key/111aa2bb-333c-4d44-5555-a111bb2c33dd。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "ExampleStmt3",
         "Action": [
           "kms:Decrypt",
           "kms:DescribeKey",
           "kms:Encrypt",
           "kms:GenerateDataKey",
           "kms:ReEncrypt*"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:kms:example-region-1:123456789098:key/111aa2bb-333c-4d44-5555-a111bb2c33dd"
       }
     ]
   }