能否让账号A中的EventBridge Pipe对接账号B中的Kinesis Firehose？

结论：可以直接实现，不需要借助账号B的事件总线中转

实现的核心是配置好跨账号权限，具体步骤如下：

• 给账号B的Kinesis Firehose添加资源策略
  需要在Firehose的资源策略中，允许账号A的EventBridge Pipe执行角色向其写入数据。示例策略如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::账号A-ID:role/你的Pipe执行角色ARN"
        },
        "Action": ["firehose:PutRecord", "firehose:PutRecordBatch"],
        "Resource": "arn:aws:firehose:区域:账号B-ID:deliverystream/你的Firehose名称"
      }
    ]
  }
  

• 给账号A的Pipe执行角色添加权限
  在账号A的Pipe执行角色的IAM策略中，添加允许访问账号B的Firehose的权限：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": ["firehose:PutRecord", "firehose:PutRecordBatch"],
        "Resource": "arn:aws:firehose:区域:账号B-ID:deliverystream/你的Firehose名称"
      }
    ]
  }
  

• 创建跨账号EventBridge Pipe
  在账号A的EventBridge控制台创建Pipe时，目标选择Kinesis Firehose，直接填写账号B的Firehose完整ARN（需包含账号B的ID和对应区域）即可。

之所以文档表述模糊，是因为AWS这类跨账号配置的说明通常分散在IAM策略、服务各自的权限文档里，没有专门针对Pipe对接跨账号Firehose的集中说明，但按照标准跨账号权限配置流程就能完成对接。

内容的提问来源于stack exchange，提问作者Aryêh Radlê