与不同AWS账户中的用户共享AMI

Question

AWS仅需修改权限即可支持跨帐户共享AMI或快照。 要共享AMI，我们需要输入目标帐户ID，然后它将与目标帐户共享。 我想与目标帐户中的特定用户共享该AMI。 可能吗？ 如果是，那么需要什么步骤？ TIA :)

Answer 1

在源帐户中不可能限制对目标帐户中特定用户的访问。

通常，跨帐户共享是建立从一个帐户到另一帐户的根用户的信任。

此信任允许目标帐户的根用户委派对资源的访问（通过IAM策略）。在这种情况下，资源是AMI。

因此，如果要将访问权限限制为特定用户对目标帐户中该AMI的访问，则需要：

1. 将您提到的AMI从源帐户共享到目标帐户（https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/sharingamis-explicit.html）
2. 在目标帐户中创建IAM策略以允许访问AMI
3. 将该IAM策略附加到用户/组/角色。

类似于以下内容的用户/组/角色：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AccessImages",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:CopyImage"
            ],
            "Resource": "*"
        }
    ]
}