Amazon S3 バケットに対し、オブジェクトをアップロードするアクセス権を、別の AWS アカウントのユーザーに与えるにはどうすれば良いですか？

解決策

アカウント A の IAM ユーザーに、アカウント B の S3 バケットにオブジェクトをアップロードするアクセス権限を付与するには、次の手順に従います。

1. アカウント A から、IAM ユーザーにポリシーをアタッチします。ポリシーでは、ユーザーがアカウント B のバケットで s3: PutObject アクションと s3: PutObjectAcl アクションを実行することを許可する必要があります。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:PutObjectAcl"
         ],
         "Resource": [
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
         ]
       }
     ]
   }

   **注:**アップロード用のオブジェクトアクセス制御リスト (ACL) を指定する前に、s3:PutObjectAcl 権限が必要です。この権限がないと、バケット所有者フルコントロール ACL などの ACL を含むオブジェクトをアップロードするときに、アクセス拒否エラーが発生します。

2. アカウント A から、IAM ユーザーの Amazon リソースネーム (ARN) を取得します。

3. アカウント B から、アカウント A の IAM ユーザーに s3: PutObject と s3: PutObjectAcl アクションを実行する権限を付与するバケットポリシーをアタッチします。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "DelegateS3Access",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::999999999999:user/UploadData"
         },
         "Action": [
           "s3:PutObject",
           "s3:PutObjectAcl"
         ],
         "Resource": [
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
         ]
       }
     ]
   }

   **重要:**Principal の値については、アカウント A の IAM ユーザーの ARN を必ず入力してください。

これで IAM ユーザーは Amazon S3 にオブジェクトをアップロードできます。

関連情報

例 2: バケット所有者がクロスアカウントのバケットのアクセス権限を付与する