Acceso al bucket entre cuentas

RES tiene la capacidad de montar depósitos desde otras AWS cuentas, siempre que estos grupos cuenten con los permisos adecuados. En el siguiente escenario, un entorno RES de la cuenta A quiere montar un bucket de S3 en la cuenta B.

Paso 1: Cree un rol de IAM en la cuenta en la que está desplegado RES (se denominará cuenta A):

1. Inicie sesión en la consola AWS de administración de la cuenta RES que necesita acceder al bucket de S3 (cuenta A).

2. Abra la consola de IAM:

   1. Navegue hasta el panel de control de IAM.

   2. En el panel de navegación, seleccione Políticas.

3. Cree una política:

   1. Elija Crear política.

   2. Seleccione la pestaña JSON.

   3. Pegue la siguiente política de JSON (<BUCKET-NAME>sustitúyala por el nombre del bucket de S3 ubicado en la cuenta B):

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }

   4. Elija Next (Siguiente).

4. Revisa y crea la política:

   1. Proporcione un nombre para la política (por ejemplo, AccessPolicy «S3»).

   2. Añada una descripción opcional para explicar el propósito de la política.

   3. Revisa la política y selecciona Crear política.

5. Abra la consola de IAM:

   1. Navegue hasta el panel de control de IAM.

   2. Seleccione Roles en el panel de navegación.

6. Cree un rol:

   1. Elija Crear rol.

   2. Elija una política de confianza personalizada como tipo de entidad de confianza.

   3. Pegue la siguiente política de JSON (<ACCOUNT_ID>sustitúyala por el ID de cuenta real de la cuenta A, <ENVIRONMENT_NAME> por el nombre del entorno de la implementación de RES y <REGION> por la AWS región en la que se implementa RES):

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ENVIRONMENT_NAME>-custom-credential-broker-lambda-role-<REGION>"
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      } 

   4. Elija Next (Siguiente).

7. Adjunte las políticas de permisos:

   1. Busque y seleccione la política que creó anteriormente.

   2. Elija Next (Siguiente).

8. Etiquete, revise y cree el rol:

   1. Introduzca el nombre de un rol (por ejemplo, AccessRole «S3»).

   2. En el paso 3, selecciona Añadir etiqueta y, a continuación, introduce la clave y el valor siguientes:

      • Clave: res:Resource

      • Valor: s3-bucket-iam-role

   3. Revisa el rol y selecciona Crear rol.

9. Utilice el rol de IAM en RES:

   1. Copie el ARN del rol de IAM que creó.

   2. Inicie sesión en la consola RES.

   3. En el panel de navegación izquierdo, elija S3 Bucket.

   4. Elige Añadir depósito y rellena el formulario con el ARN del depósito S3 multicuenta.

   5. Selecciona el menú desplegable Configuración avanzada (opcional).

   6. Introduzca el ARN del rol en el campo ARN del rol de IAM.

   7. Seleccione Añadir depósito.

Paso 2: Modifique la política de depósitos en la cuenta B

1. Inicie sesión en la consola AWS de administración de la cuenta B.

2. Abra la consola S3:

   1. Navegue hasta el panel de control de S3.

   2. Selecciona el depósito al que quieres conceder acceso.

3. Edita la política de buckets:

   1. Seleccione la pestaña Permisos y elija la política de buckets.

   2. Añada la siguiente política para conceder a la función de IAM de la cuenta A acceso al bucket (<AccountA_ID>sustitúyala por el ID de cuenta real de la cuenta A y <BUCKET-NAME> por el nombre del bucket de S3):

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::AccountA_ID:role/S3AccessRole"
                  },
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }

   3. Seleccione Guardar.