在 Athena 中配置对 Amazon S3 存储桶的跨账户存取

向账户 b 中的用户授予对账户 a 中存储桶的访问权限

• 在账户 A 中，查看 S3 存储桶策略并确认存在允许从账户 B 的账户 ID 访问的语句。

  例如，以下存储桶策略允许 s3:GetObject 访问账户 ID 111122223333：

  {
    "Id": "ExamplePolicy1",
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "ExampleStmt1",
        "Action": [
          "s3:GetObject"
        ],
        "Effect": "Allow",
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
        "Principal": {
          "AWS": [
            "111122223333"
          ]
        }
      }
    ]
  }

从账户 a 中的 Amazon KMS 密钥策略向账户 b 中的用户授予访问权限

1. 在账户 A 的 Amazon KMS 密钥策略中，向账户 B 所担任的角色授予执行以下操作的权限：

   • kms:Encrypt

   • kms:Decrypt

   • kms:ReEncrypt*

   • kms:GenerateDataKey*

   • kms:DescribeKey

   以下示例仅向一个 IAM 角色授予密钥访问权限。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowUseOfTheKey",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:role/role_name"
               },
               "Action": [
                   "kms:Encrypt",
                   "kms:Decrypt",
                   "kms:ReEncrypt*",
                   "kms:GenerateDataKey*",
                   "kms:DescribeKey"
               ],
               "Resource": "*"
           }
       ]
   }

2. 在账户 A 中，使用 Amazon Web Services Management Console 策略视图查看密钥策略。

3. 在密钥策略中，验证以下语句是否将账户 B 列为委托人。

   "Sid": "Allow use of the key" 

4. 如果 "Sid": "Allow use of the key" 语句不存在，请执行以下步骤：

   1. 切换到使用控制台默认视图查看密钥策略。

   2. 将账户 B 的账户 ID 添加为可访问密钥的外部账户。

从账户 b 担任的 IAM 角色中授予对账户 a 中存储桶和密钥的访问权限

1. 从账户 B 中，在 https://console.aws.amazon.com/iam/ 开启 IAM 控制台。

2. 打开与账户 B 中用户关联的 IAM 角色。

3. 查看应用于 IAM 角色的权限策略列表。

4. 确保应用授予对存储桶的访问权限的策略。

   以下示例语句授予 IAM 角色对存储桶 amzn-s3-demo-bucket 执行 s3:GetObject 和 s3:PutObject 操作的访问权限：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "ExampleStmt2",
         "Action": [
           "s3:GetObject",
           "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
       }
     ]
   }

5. 确保应用授予对密钥的访问权限的策略。

   注意

   如果账户 B 所担任的 IAM 角色已经具有管理员访问权限，则您无需从用户的 IAM policy 授予对密钥的访问权限。

   以下示例语句授予 IAM 角色使用密钥 arn:aws:kms:us-west-2:123456789098:key/111aa2bb-333c-4d44-5555-a111bb2c33dd 的权限。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "ExampleStmt3",
         "Action": [
           "kms:Decrypt",
           "kms:DescribeKey",
           "kms:Encrypt",
           "kms:GenerateDataKey",
           "kms:ReEncrypt*"
         ],
         "Effect": "Allow",
         "Resource": "arn:aws:kms:us-west-2:123456789098:key/111aa2bb-333c-4d44-5555-a111bb2c33dd"
       }
     ]
   }