如何向其他 AWS 账户的用户授予权限，使其能够向我的 Amazon S3 存储桶上传对象？

上次更新时间：2020 年 11 月 2 日

我希望其他 AWS 账户中的 AWS Identity and Access Management (IAM) 用户能够将对象上传到我的 Amazon Simple Storage Service (Amazon S3) 存储桶。我该如何授予这种跨账户访问权限？

解决方案

按照以下步骤操作，授予一个账户（账户 A）中的 IAM 用户向另一个账户（账户 B）中的 S3 存储桶上传对象的访问权限：

1. 在账户 A 中，向 IAM 用户附加一条策略，允许该用户在账户 B 的存储桶上运行 s3:PutObject 和 s3:PutObjectAcl 操作，类似于以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:PutObjectAcl"      
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
            ]
        }
    ]
}

注意：上传过程中必须指定对象访问控制列表 (ACL) 的用户需要 s3:PutObjectAcl 权限。如果没有此权限，用户在上传带有 ACL 的对象（例如，bucket-owner-full 控制 ACL 或 public-read ACL）时，会出现“访问被拒”错误。

2. 在账户 A 中，获取 IAM 用户的 Amazon 资源名称 (ARN)。

3. 在账户 B 中，附加一条存储桶策略，授权账户 A 中的 IAM 用户运行 s3:PutObject 和 s3:PutObjectAcl 操作，类似于以下内容：

重要提示：对于委托人的值，请务必输入账户 A 中 IAM 用户的 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DelegateS3Access",
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::999999999999:user/UploadData"},
            "Action": ["s3:PutObject", "s3:PutObjectAcl"],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
            ]
        }
    ]
}

设置好账户 A 中的 IAM 用户策略、账户 B 中的存储桶策略之后，IAM 用户即可将对象上传到存储桶。

如何向其他 AWS 账户的用户授予权限，使其能够向我的 Amazon S3 存储桶上传对象？

解决方案

相关信息