给Redshift集群访问另一个帐户所拥有的S3存储区

Question

我正尝试使用iam_role将数据从Redshift卸载到S3。只要我将数据卸载到与Redshift集群相同的帐户所拥有的S3存储桶中，unload命令就可以正常工作。

但是，如果我尝试将数据卸载到另一个帐户所拥有的S3存储桶中，则不起作用。我曾尝试在这些教程中提到的方法：

• Tutorial: Delegate Access Across AWS Accounts Using IAM Roles
• Example: Bucket Owner Granting Cross-Account Bucket Permissions

不过，我总是得到S3ServiceException:Access Denied,Status 403,Error AccessDenied,Rid

有没有人这样做呢？

Answer 1

我得到它的工作。这里就是我所做的：

• 创建一个IAM角色在具有AmazonS3FullAccess策略（测试）
• 帐户A推出了亚马逊红移集群在帐户A
• 加载数据到红移集群
• 测试1：卸载到帐户A中的存储桶 - 成功
• 测试2：卸载到帐户B水桶 - 失败
• 增加了桶政策在帐户B桶（见下文）
• 测试3：卸载到铲斗在账户B - 成功！

这是我用过的水桶政策：

{ 
    "Id": "Policy11", 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "PermitRoleAccess", 
     "Action": "s3:*", 
     "Effect": "Allow", 
     "Resource": [ 
     "arn:aws:s3:::my-bucket", 
     "arn:aws:s3:::my-bucket/*" 
     ], 
     "Principal": { 
     "AWS": [ 
      "arn:aws:iam::123456789012:role/Redshift-loader" 
     ] 
     } 
    } 
    ] 
} 

的Redshift-loader作用已经跟我红移集群关联。此政策授予角色（位于不同的AWS账户）对此S3存储桶的访问权限。