[Amazon] AWS アカウント間のリソース認証アクセス

記事ディレクトリ

1. 実験枠組み図

この実験では、指定された AWS アカウントは別の AWS アカウントのリソース (S3 リソースなど) へのアクセスを許可され、他の AWS アカウントはそのリソースにアクセスできなくなります。
画像-20231030092833686

2. 実験プロセスの説明

アカウント A に S3 バケットを作成するxybaws-account-access-s3
アカウント A で S3 バケットアクセスポリシーを作成するxybaws_cross_account_access_s3_policy
アカウント A で開発アカウントを信頼するロールを作成し、S3 アクセスポリシーを割り当てます。xybaws_cross_account_access_s3_role
アカウント B のユーザーにインラインポリシーを追加して、ユーザーがアカウント A のロールを sts:AssuneRole できるようにします。
アカウント B のロールを切り替えて、アカウント A の S3 バケットにアクセスします

3. 実験実証プロセス

1. アカウント A に S3 バケットを作成します

バケットの作成

名前：xybaws-account-access-s3

画像-20231030093803931

バケットの作成

バケット名: xybaws_account_access_s3

AWS リージョン: アジアパシフィック (東京) ap-northeast-1

タグ: 名前 | xybaws_account_access_s3

画像-20231030094023576

画像をxybaws_account_access_s3バケットにアップロードします。

画像-20231030094426854

2. アカウント A で S3 バケットアクセスポリシーを作成します

IAM 管理コンソールに移動します。バケットを作成します。

名前：xybaws_cross_account_access_s3_policy

このポリシーにより、S3 へのアクセスが許可され、すべての S3 操作が許可されます。

画像-20231030094945129

表示して作成します。ポリシーの詳細。

戦略名:xyb_cross_account_access_s3_policy

ラベル：Name | xyb_cross_account_access_s3_policy

画像-20231030095056722

このポリシーの詳細を表示します。

画像-20231030095144041

以下は、S3 バケットからアクセスするためにポリシーが作成される JSON 形式です。

{
    
    
    "Version": "2012-10-17",
    "Statement": [
        {
    
    
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

3. 開発アカウントを信頼するアカウント A にロールを作成します

导航至IAM—角色，选择创建角色。

AWS アカウント:另一个AWS账户

画像-20231030095958097

権限ポリシーを追加します。

xybaws_cross_account_access_s3_policy

画像-20231030100054874

ロール名の作成:

xybaws_cross_account_s3_role

画像-20231030100311497

役割の詳細を表示します。

画像-20231030100457711

4. アカウント B のユーザーにインラインポリシーを追加します

アカウント B の AWS 管理コンソールにログインし、IAM に移動して、インラインポリシーを作成します。

画像-20231030101031980

{
    
    
	"Version": "2012-10-17",
	"Statement": [
		{
    
    
			"Effect": "Allow",
			"Action": "sts:AssumeRole",
			"Resource": "arn:aws:iam::540852350692:role/xybaws_cross_account_access_s3_role"
		}
	]
}