共享AWS用户ARN

Question

我想与某人共享一个Lambda层，这样做，我将为他们提供ARN，其中将包含我的AWS账户的12位ID。

与此相关的任何风险吗？

Answer 1

我假设您信任与之共享Lamda ARN的一方。

共享帐户ID的风险仅限于您授予的服务权限。

AWS Account Identifiers文档指出：

  

AWS账户ID是一个12位数字，例如123456789012，可用于构造Amazon资源名称（ARN）。当您引用诸如IAM用户或Glacier保管库之类的资源时，账户ID会将您的资源与其他AWS账户中的资源区分开。

您与之共享帐户ID的人可以操纵ARN，但没有访问该资源的许可，就没有问题。

最重要的是，如果您有严格的控件来限制对资源（例如Lambda层）的外部访问，则应该没问题。

Answer 2

虽然通常不建议发布您的帐户ID（例如，在StackOverflow问题中），但是如果其他人知道，也并不可怕。

您的AWS服务的安全性与凭证而非帐户ID关联。

知道您的帐户ID只会使攻击者更容易尝试探测您的帐户，尤其是当攻击者知道您正在使用的某些服务时。例如，他们可以知道可公开访问的Amazon SQS队列，因为它们属于您的帐户。

如果您有意与希望与您的帐户绑定的其他人合作，则可以共享ARN。