使用共享 VPC 中的 VPC 端点配置 Amazon Keyspaces 的跨账户访问 - Amazon Keyspaces（Apache Cassandra 兼容）
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用共享 VPC 中的 VPC 端点配置 Amazon Keyspaces 的跨账户访问

您可以创建不同的资源 Amazon Web Services 账户 以将资源与应用程序分开。例如，您可以为 Amazon Keyspaces 表创建一个账户，为开发环境中的应用程序创建一个不同的账户，为生产环境中的应用程序创建另一个账户。本主题将引导您完成在共享 VPC 中使用接口 VPC 端点为 Amazon Keyspaces 设置跨账户访问所需的配置步骤。

有关如何为 Amazon Keyspaces 配置 VPC 端点的详细步骤，请参阅步骤 3：为 Amazon Keyspaces 创建 VPC 端点。

在本例中，我们在共享 VPC 中使用了以下三个账户：

  • Account A：此账户包含基础设施，包括 VPC 端点、VPC 子网和 Amazon Keyspaces 表。

  • Account B：此账户包含开发环境中的一个应用程序，该应用程序需要连接到Account A 中的 Amazon Keyspaces 表。

  • Account C：此账户包含生产环境中的一个应用程序，该应用程序需要连接到Account A 中的 Amazon Keyspaces 表。

该图显示了由同一组织在同一组织中拥有的三个不同的账户 Amazon Web Services 区域 ，这些账户使用共享 VPC。

Account A是包含Account B和Account C需要访问的资源（Amazon Keyspaces 表）的账户，信任账户Account A也是如此。 Account B而Account C委托人需要访问其中的资源（Amazon Keyspaces 表）Account A的账户也是值得信Account B赖Account C的账户。信任账户通过共享 IAM 角色向受信账户授予权限。以下程序概述了Account A 中所需的配置步骤。

Account A 所需的配置

  1. 用于 Amazon Resource Access Manager 为子网创建资源共享并与Account B和共享私有子网Account C。

    Account B 和Account C 现在可以在与它们共享的子网中查看和创建资源。

  2. 创建由提供支持的 Amazon Keyspaces 私有 VPC 终端节点。 Amazon PrivateLink这将在 Amazon Keyspaces 服务端点的共享子网和 DNS 条目上创建多个端点。

  3. 创建 Amazon Keyspaces 密钥空间和表。

  4. 在中创建一个 IAM 角色Account A，该角色具有对 Amazon Keyspaces 表的完全访问权限、对 Amazon Keyspaces 系统表的读取权限，并且能够描述 Amazon VP EC2 C 资源，如以下策略示例所示。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CrossAccountAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeVpcEndpoints",
                "cassandra:*"
            ],
            "Resource": "*"
        }
    ]
}

  5. 在中为 IAM 角色配置信任策略Account B，Account A以便Account C可以将该角色代入可信账户。如以下示例所示。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB:role/Job-role-B",
                "AWS": "arn:aws:iam::AccountC:role/Job-role-C"
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

    有关跨账户 IAM 策略的更多信息，请参阅《IAM 用户指南》中的跨账户策略。

Account B 和 Account C 中的配置

  1. 在Account B 和Account C 中创建新角色并附加以下策略，允许主体代入在Account A 中创建的共享角色。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    允许委托人担任共享角色是使用 Amazon Security Token Service (Amazon STS) 的 AssumeRole API 实现的。有关更多信息，请参阅 IAM 用户指南中的向您拥有 Amazon Web Services 账户 的另一个 IAM 用户提供访问权限。

  2. 在Account B和中Account C，您可以创建使用 SIGV4 身份验证插件的应用程序，该插件允许应用程序扮演共享角色，Account A通过共享 VPC 中的 VPC 终端节点连接到位于中的 Amazon Keyspaces 表。有关 SIGV4 身份验证插件的更多信息，请参阅创建用于通过编程方式访问 Amazon Keyspaces 的凭证。。有关如何将应用程序配置为在另一个 Amazon 账户中扮演角色的更多信息，请参阅和工具参考指南中的身份验证Amazon SDKs 和访问权限。