AWS多账户互联（DirectConnect/TransitGateway）跨账户入侵防护咨询

一、跨账户访问阻断核心措施（不止依赖异常行为识别） #

• 最小权限IAM配置：跨账户角色/策略仅授予业务必需权限，禁用通配符权限，利用aws:PrincipalAccount、aws:SourceVpc等条件键限制访问来源，确保仅指定账户/资源能触发跨账户操作。
• 网络隔离控制：
  • 在DirectConnect关联的VPC中配置安全组与网络ACL，仅放行必要端口、IP段，拒绝未授权跨账户流量。
  • 启用VPC流日志，监控跨账户流量的源/目标、端口信息，快速发现非预期访问。
• 严格的跨账户信任关系：禁止在角色信任策略中使用"Principal": "*"，严格限定信任的账户ID，定期审计并移除冗余的跨账户信任配置。
• 资源级防护兜底：对S3桶、RDS实例等敏感资源单独配置资源策略，明确允许访问的账户和角色，即使IAM权限出现漏洞，资源策略可作为第二道防线。

二、AWS Transit Gateway的风险与通用性 #

• 风险可控，并非必然加剧威胁：Transit Gateway连接多账户时，若未做严格隔离，攻击者攻陷单个账户后可能访问其他关联账户资源，但通过合理配置可有效降低风险。
• 属于通用组网方式，但需配套防护：Transit Gateway是企业多账户架构中简化组网的常用方案，通用防护做法包括：
  • 为每个账户的Transit Gateway attachment配置独立路由表，实现账户间路由隔离。
  • 使用Transit Gateway ACL过滤跨账户流量，仅放行必要业务流量。
  • 定期审计关联账户、路由规则和ACL配置，清理冗余项。

三、关键防护总结要点 #

• 构建多层防御体系，结合IAM权限、网络控制、资源策略，不依赖单一手段。
• 异常行为识别是补充手段，可通过CloudTrail监控跨账户API调用，配合GuardDuty检测异常操作（如非工作时间的跨账户权限提升）。
• 多账户组网的核心是最小权限+边界隔离，每一层连接都要设置严格的访问边界。
• 定期开展权限审计和模拟跨账户攻击的渗透测试，验证防护有效性。

内容的提问来源于stack exchange，提问作者user5580578