S3跨账户（不同租户同区域）复制：是否需配置IP白名单？

问题1：开展S3跨账户（不同租户、同区域）复制时，桶是否需要设置为公开可访问？ #

完全不需要。跨账户复制的权限控制靠IAM角色和桶级权限配置就能实现：

• 源桶侧要配置复制规则，指定目标账户的复制角色，同时给该角色授予读取源桶对象、列出源桶的权限
• 目标桶侧要允许上述复制角色具备写入对象的权限
  整个流程是AWS服务内部的权限交互，完全没必要把任何一个桶设为公开可访问——公开桶会带来严重安全风险，绝对不推荐。

问题2：我方桶配置了仅允许VPC端点访问的桶策略，从不同租户SaaS提供商S3桶复制日志到我方桶，是否需要白名单SaaS提供商的IP地址？ #

不需要白名单IP地址。因为跨账户S3复制是S3服务端之间的内部操作，流量走AWS私有网络，不会经过公网IP，根本不需要基于IP的访问控制。

你要做的是调整我方桶的策略：在现有VPC端点允许的规则基础上，额外加一条权限，允许SaaS提供商那边的复制IAM角色（需由对方提供角色ARN）具备写入我方桶的必要权限（比如s3:PutObject、s3:PutObjectAcl等），确保复制操作能正常完成。

内容的提问来源于stack exchange，提问作者Ryan Crawcour