向独立AWS账户好友授予S3 Bucket权限：选外部账户还是IAM用户？

针对你要给独立AWS账户的好友授权访问S3 Bucket的需求，下面直接对比两种方案的优劣势、风险，以及符合最佳实践的选择建议：

方案A：直接向好友的AWS账户授予Bucket访问权限 #

这里的实现方式通常是通过Bucket Policy配置授权，或者在你的账户创建IAM角色并允许好友账户信任该角色（推荐后者）。

优势 #

• 完全符合AWS安全最佳实践：好友使用自己账户的IAM身份（用户/角色）访问，无需共享任何凭证，彻底避免凭证泄露风险
• 可追溯的审计能力：所有访问行为会被CloudTrail记录，且关联好友的账户身份，能精准追踪操作来源
• 安全防护联动：好友可以启用自己账户的MFA、IP限制等安全措施，进一步提升访问安全性
• 权限回收便捷：直接修改Bucket Policy或角色信任策略，移除对方账户即可完成权限回收，无需处理凭证轮换或失效问题

潜在风险 #

• 配置不当易导致过度授权：如果Bucket Policy写得过于宽泛（比如允许对方账户下所有用户访问），可能出现权限泄露
• 需要好友配合操作：若使用角色信任方式，好友需要在自己账户中配置对应的权限允许调用sts:AssumeRole；若用Bucket Policy直接授权，好友需确保自己的IAM身份有对应的访问权限

方案B：在你的账户创建IAM用户并共享凭证 #

优势 #

• 配置门槛极低：不需要跨账户配置，仅需创建IAM用户、附加S3权限策略，再把访问密钥发给好友即可
• 好友无需操作自己的AWS账户，直接使用你提供的凭证就能访问

潜在风险（严重违反最佳实践） #

• 凭证共享是AWS安全大忌：IAM用户的访问密钥属于你的账户，共享后你无法控制好友的使用方式（比如是否多人共用、是否泄露给第三方）
• 凭证管理成本高：一旦凭证泄露，你必须立即轮换密钥；好友不再需要访问时，你需要删除用户或轮换密钥，操作繁琐且容易遗漏
• 审计失效：所有访问行为都归属于这个共享的IAM用户，无法区分是好友本人还是其他未授权人员的操作
• 安全防护缺失：好友无法使用自己账户的MFA等安全措施，只能依赖你对这个IAM用户的配置，风险大幅提升

最佳选择与注意事项 #

优先选择方案A #

方案A是AWS官方推荐的跨账户访问方式，完全契合最小权限、凭证不共享、可审计等核心安全原则。

方案A的配置要点

1. 推荐使用IAM角色而非直接Bucket Policy：
   • 在你的账户创建一个IAM角色，权限策略仅包含该S3 Bucket的必要操作（比如s3:GetObject、s3:ListBucket）
   • 角色的信任策略指定好友的AWS账户ID，示例：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": "arn:aws:iam::好友账户ID:root"
           },
           "Action": "sts:AssumeRole",
           "Condition": {}
         }
       ]
     }
     

   • 好友在自己账户中通过aws sts assume-role命令或AWS SDK调用获取临时凭证，临时凭证有默认过期时间（最长12小时），安全性更高
2. 严格遵循最小权限原则：只授予好友需要的具体操作，绝对不要使用s3:*这类全权限
3. 启用监控：开启CloudTrail和S3访问日志，定期检查访问记录，及时发现异常操作

方案B的警告 #

除非是极端临时应急场景（且无法使用跨账户授权），否则绝对不要使用方案B。如果迫不得已使用：

• 强制给该IAM用户启用MFA
• 每90天轮换一次访问密钥
• 严格限制该用户的权限范围，仅保留必要的S3操作
• 开启CloudTrail监控该用户的所有操作

内容的提问来源于stack exchange，提问作者almog hakak