是否可以使用aws assume-role从帐户的不同区域访问aws资源

Question

这是我的情景。

unsigned char

来自Account3的User1想要访问Account1＆amp ;;的财务数据帐户2。这可能吗？

Answer 1

是的，这绝对有可能。 IAM是一项全球服务，它不是特定于地区的，您可以使用IAM角色和跨帐户访问来配置类似的内容。

AWS关于IAM帐户管理的最佳做法建议如下：

1. 拥有一个帐户，您可以在其中创建所有IAM用户和群组（+配置合并结算），仅此而已 - 我将称之为ManagementAccount

2. 创建Account1＆amp; Account2并在其中创建跨帐户访问角色，您可以配置每个角色的策略以授予对帐户内特定资源的访问权限（如果您愿意，可以在特定区域中）。例如，在Account1中，您设置了一个名为Frankfurt-Auditor的角色，其策略授予对名为company-frankfurt-finance的S3存储桶的读访问权限（此存储桶由Account1拥有）。您还可以在NorthernVirginia-Auditor中创建一个名为Account2的角色，该角色授予对名为company-northernvirginia-finance（由Account2拥有的存储区）的存储区的访问权限。 这些角色还将在ManagementAccount和Account1或Account2

之间建立信任

3. 允许ManagementAccount中的某些用户（或群组）假设Frankfurt-Auditor＆amp; NorthernVirginia-Auditor和Account1中的Account2个角色 class SerialPortManager { public SerialPort Serial = new SerialPort(); private Thread thr; private string Log; //public TextBox textLog; public Action<string> textLog; ..... 。

有一个很好的，详细的教程，希望能帮助你设置它： Tutorial: Delegate Access Across AWS Accounts Using IAM Roles