Acesso ao bucket entre contas

O RES tem a capacidade de montar buckets de outras AWS contas, desde que esses buckets tenham as permissões corretas. No cenário a seguir, um ambiente RES na Conta A deseja montar um bucket S3 na Conta B.

Etapa 1: Crie uma função do IAM na conta na qual o RES está implantado (isso será chamado de Conta A):

1. Faça login no console AWS de gerenciamento da conta RES que precisa acessar o bucket do S3 (Conta A).

2. Abra o console do IAM:

   1. Navegue até o painel do IAM.

   2. No painel de navegação, selecione Políticas.

3. Crie uma política:

   1. Escolha Criar política.

   2. Selecione a guia JSON.

   3. Cole a seguinte política JSON (<BUCKET-NAME>substitua pelo nome do bucket do S3 localizado na Conta B):

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }

   4. Escolha Próximo.

4. Analise e crie a política:

   1. Forneça um nome para a política (por exemplo, “S3 AccessPolicy “).

   2. Adicione uma descrição opcional para explicar a finalidade da política.

   3. Revise a política e escolha Criar política.

5. Abra o console do IAM:

   1. Navegue até o painel do IAM.

   2. No painel de navegação, selecione Perfis.

6. Crie uma função:

   1. Selecione Criar perfil.

   2. Escolha Política de confiança personalizada como o tipo de entidade confiável.

   3. Cole a seguinte política JSON (<ACCOUNT_ID>substitua pelo ID da conta real da Conta A, <ENVIRONMENT_NAME> pelo nome do ambiente da implantação do RES e <REGION> pela AWS região em que o RES é implantado):

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ENVIRONMENT_NAME>-custom-credential-broker-lambda-role-<REGION>"
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      } 

   4. Escolha Próximo.

7. Anexe políticas de permissões:

   1. Pesquise e selecione a política que você criou anteriormente.

   2. Escolha Próximo.

8. Marque, revise e crie a função:

   1. Insira um nome de função (por exemplo, “S3 AccessRole “).

   2. Na Etapa 3, escolha Adicionar tag e insira a chave e o valor a seguir:

      • Chave: res:Resource

      • Valor: s3-bucket-iam-role

   3. Revise a função e escolha Criar função.

9. Use a função do IAM no RES:

   1. Copie o ARN da função do IAM que você criou.

   2. Faça login no console RES.

   3. No painel de navegação esquerdo, escolha S3 Bucket.

   4. Escolha Adicionar bucket e preencha o formulário com o ARN do bucket S3 entre contas.

   5. Escolha o menu suspenso Configurações avançadas - opcional.

   6. Insira o ARN da função no campo ARN da função do IAM.

   7. Escolha Adicionar bucket.

Etapa 2: modificar a política de bucket na Conta B

1. Faça login no console AWS de gerenciamento da conta B.

2. Abra o console S3:

   1. Navegue até o painel do S3.

   2. Selecione o bucket ao qual você deseja conceder acesso.

3. Edite a política do bucket:

   1. Selecione a guia Permissões e escolha Política de bucket.

   2. Adicione a política a seguir para conceder à função do IAM da Conta A acesso ao bucket (<AccountA_ID>substitua pelo ID real da conta A e <BUCKET-NAME> pelo nome do bucket S3):

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::AccountA_ID:role/S3AccessRole"
                  },
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }

   3. Escolha Salvar.