Question

我想控制对另一个AWS账户创建的对象的访问。我可以通过存储桶策略来实现吗？换句话说，存储桶策略是否适用于其他帐户拥有的对象？

我没有2个AWS账户，因此无法对此案例进行测试。

Answer 1

没有

授予对象访问权限的能力只能从拥有存储桶/对象的帐户中完成。

如果您考虑一下，这是有道理的 - 您不希望我授予您对象的访问权限。只有拥有存储桶/对象的帐户才能执行此操作。

Answer 2

是的，您可以通过创建政策。请在下面找到示例政策，

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "Example permissions",
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::AccountB-ID:root"
         },
         "Action": [
            "s3:GetBucketLocation",
            "s3:ListBucket"
         ],
         "Resource": [
            "arn:aws:s3:::examplebucket"
         ]
      }
   ]
}

您可以通过AWS控制台，CLI或API执行此操作。请在下面找到CLI示例，

aws s3 ls s3://examplebucket --profile AccountBadmin
aws s3api get-bucket-location --bucket examplebucket --profile AccountBadmin

请阅读文档here了解更多详情

我可以使用存储桶策略授予对AWS S3中其他帐户拥有的对象的访问权限吗？

2 个答案: