Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Amazon 账户之间共享 CloudTrail 日志文件

本节介绍如何在多个 Amazon 账户之间共享 CloudTrail 日志文件。您用于在两者之间共享日志的方法 Amazon Web Services 账户 取决于您的 S3 存储桶的配置。下面是是共享日志文件的选项：

通过代入角色在账户之间共享日志文件

本节介绍如何 Amazon Web Services 账户 通过扮演角色在多个 CloudTrail 日志文件之间共享日志文件，并描述共享日志文件的场景。

以下部分介绍了有关这些步骤的更多详细信息。

创建用于向自己的账户授予访问权限的访问策略

作为 Amazon S3 存储桶的所有者，您可以完全控制向其 CloudTrail 写入其他账户日志文件的 Amazon S3 存储桶。您想将每个业务部门的日志文件共享回创建它们的业务部门。但您不希望部门能够读取任何其他部门的日志文件。

例如，要与账户 B 而非账户 C 共享账户 B 的日志文件，您必须在您的账户中创建一个新的 IAM 角色，指定账户 B 是受信任的账户。此角色信任策略指定可信任账户 B 来代入由您的账户创建的角色，与以下示例类似。如果使用控制台创建角色，则将自动创建信任策略。如果您使用 SDK 创建角色，则必须将信任策略作为参数提供给 CreateRole API。如果您使用 CLI 创建角色，则必须在 create-role CLI 命令中指定信任策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::account-B-id:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}    

您还必须创建访问策略来指定账户 B 只能从账户 B 将其日志文件写入到的位置进行读取。访问策略将类似于以下内容。请注意，资源 ARN 包括账户 B 的十二位数账户 ID，以及您在聚合过程中为账户 B 开启时指定的前缀（如果有）。 CloudTrail 有关指定前缀的更多信息，请参阅在其他账户中创建跟踪。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:Get*",
        "s3:List*"
      ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/prefix/AWSLogs/account-B-id/*"
    }, 
    {
      "Effect": "Allow",
      "Action": [
        "s3:Get*",
        "s3:List*"
      ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket"
    }
  ]
}
  

对任何其他账户使用上述过程。

在创建每个用户的角色并指定相应的信任和访问策略后，以及在每个账户的管理员向该账户中的 IAM 用户授予访问权后，账户 B 或账户 C 中的 IAM 用户可以编程方式代入角色。

有关更多信息，请参阅 代入角色。

创建用于向第三方授予访问权限的访问策略

您必须为第三方账户创建单独的 IAM 角色。在创建角色时， Amazon 会自动创建信任关系，以指定将信任第三方账户来代入角色。此角色的访问策略指定了该账户可执行的操作。有关创建角色的更多信息，请参阅创建 IAM 角色。

例如，由创建的信任关系 Amazon 指定第三方账户（本例中为账户 Z）受信任来担任您创建的角色。以下是信任策略的示例：

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "",
        "Effect": "Allow",
        "Principal": {"AWS": "arn:aws:iam::account-Z-id:root"},
        "Action": "sts:AssumeRole"
    }]
}

如果您在为第三方账户创建角色时指定了外部 ID，则您的访问策略将包含一个添加的 Condition 元素，该元素将测试由该账户分配的唯一 ID。此测试在代入角色时执行。以下示例访问策略包含 Condition 元素。

有关更多信息，请参阅 IAM 用户指南中的如何在向第三方授予 Amazon 资源访问权限时使用外部 ID。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "",
        "Effect": "Allow",
        "Principal": {"AWS": "arn:aws:iam::account-Z-id:root"},
        "Action": "sts:AssumeRole",
        "Condition": {"StringEquals": {"sts:ExternalId": "external-ID-issued-by-account-Z"}}
    }]
}

您还必须为您的账户创建访问策略来指定第三方账户可读取 Amazon S3 存储桶中的所有日志。访问策略应类似于以下示例。Resource 值结尾处的通配符（*）表示第三方账户可访问已获得相应访问权的 S3 存储桶中的任何日志文件。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket"
        }
    ]
}

在为第三方账户创建角色并指定相应的信任关系和访问策略后，第三方账户中的 IAM 用户必须以编程方式代入角色才能读取存储桶中的日志文件。有关更多信息，请参阅 代入角色。

代入角色

您必须指定一个单独的 IAM 用户来代入自己在每个账户中创建的各个角色，还必须确保每个 IAM 用户都拥有相应权限。

IAM 用户和角色

在创建必要的角色和策略后，您必须在要与之共享文件的每个账户中指定一个 IAM 用户。每个 IAM 用户均以编程方式代入相应的角色以访问日志文件。当用户代入角色时， Amazon 会向该用户返回临时安全凭证。此类凭证可用于发出列出、检索、复制或删除日志文件的请求，具体取决于与角色关联的访问策略所授予的权限。

有关使用 IAM 身份的更多信息，请参阅 IAM 身份（用户、组和角色）。

主要区别在于，您在每个方案中为每个 IAM 角色创建的访问策略。

为 IAM 用户创建权限策略

要执行角色允许的操作，IAM 用户必须拥有调用 Amazon STS AssumeRoleAPI 的权限。您必须编辑每个用户的策略，以授予他们相应的权限。也就是说，在附加到 IAM 用户的策略中设置资源元素。以下示例演示了另一个账户中的 IAM 用户的策略，此策略允许该用户代入账户 A 之前创建的一个名为 Test 的角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["sts:AssumeRole"],
      "Resource": "arn:aws:iam::account-A-id:role/Test"
    }
  ]
}
        

正在呼叫 AssumeRole

用户可以通过创建一个应用程序来代入角色，该应用程序调用 Amazon STS AssumeRoleAPI 并传递角色会话名称、要代入的角色的 Amazon 资源编号 (ARN) 以及可选的外部 ID。创建要代入的角色的账户将定义角色会话名称。外部 ID（如果有）由第三方账户定义，并且将传递给拥有账户以便在创建角色时将此 ID 包含在内。有关更多信息，请参阅 IAM 用户指南中的如何在向第三方授予对您的 Amazon 资源的访问权限时使用外部 ID。您可以通过打开 IAM 控制台从账户 A 检索 ARN。

AssumeRole API 会返回临时证书，用于访问拥有账户的资源。在此示例中，您要访问的资源是 Amazon S3 存储桶以及该存储桶所包含的日志文件。该临时证书拥有您在角色访问策略中定义的权限。

以下 Python 示例（使用 Amazon SDK for Python (Boto)）将说明如何调用 AssumeRole 以及如何使用返回的临时安全证书来列出由账户 A 控制的所有 Simple Storage Service（Amazon S3）存储桶。

def list_buckets_from_assumed_role(user_key, assume_role_arn, session_name):
    """
    Assumes a role that grants permission to list the Amazon S3 buckets in the account.
    Uses the temporary credentials from the role to list the buckets that are owned
    by the assumed role's account.

    :param user_key: The access key of a user that has permission to assume the role.
    :param assume_role_arn: The Amazon Resource Name (ARN) of the role that
                            grants access to list the other account's buckets.
    :param session_name: The name of the STS session.
    """
    sts_client = boto3.client(
        "sts", aws_access_key_id=user_key.id, aws_secret_access_key=user_key.secret
    )
    try:
        response = sts_client.assume_role(
            RoleArn=assume_role_arn, RoleSessionName=session_name
        )
        temp_credentials = response["Credentials"]
        print(f"Assumed role {assume_role_arn} and got temporary credentials.")
    except ClientError as error:
        print(
            f"Couldn't assume role {assume_role_arn}. Here's why: "
            f"{error.response['Error']['Message']}"
        )
        raise

    # Create an S3 resource that can access the account with the temporary credentials.
    s3_resource = boto3.resource(
        "s3",
        aws_access_key_id=temp_credentials["AccessKeyId"],
        aws_secret_access_key=temp_credentials["SecretAccessKey"],
        aws_session_token=temp_credentials["SessionToken"],
    )
    print(f"Listing buckets for the assumed role's account:")
    try:
        for bucket in s3_resource.buckets.all():
            print(bucket.name)
    except ClientError as error:
        print(
            f"Couldn't list buckets for the account. Here's why: "
            f"{error.response['Error']['Message']}"
        )
        raise

停止在 Amazon 账户之间共享 CloudTrail 日志文件

要停止与他人共享日志文件 Amazon Web Services 账户，请删除您为该账户创建的角色。有关如何删除角色的信息，请参阅删除角色或实例配置文件。