AWS S3访问点如何向5000+外部账号授予访问权限？

当需要给大量外部账号授予S3访问点的特定文件夹权限，且直接添加所有账号会触发策略大小限制时，可采用以下几种方案：

1. 基于IAM角色+标签条件的授权 #

• 创建一个IAM角色，在其权限策略中明确允许访问目标S3存储桶的特定文件夹（关联对应的访问点ARN）。
• 在角色的信任策略中，使用aws:PrincipalTag条件键，仅允许带有指定标签（如S3Access:Allowed）的外部账号实体扮演该角色。
• 要求所有需要访问的外部账号，为其用于访问的IAM用户/角色添加对应的标签。
• 最后在S3访问点的策略中，仅授权这个IAM角色访问目标文件夹即可，无需列出所有外部账号，彻底规避策略大小限制。

2. 利用IAM身份提供商（IdP）联合授权（适用于统一身份体系的外部账号） #

• 如果这些外部账号都归属同一个第三方身份系统（如Okta、Azure AD），先在AWS IAM中配置对应的身份提供商。
• 创建IAM角色，信任该IdP，并为角色配置访问S3特定文件夹的权限。
• 外部用户通过IdP完成身份验证后，即可扮演该角色访问S3访问点。
• 访问点策略只需授权该角色，无需逐个添加账号，适合规模化的统一身份场景。

3. 基于账号ID规律的条件匹配授权 #

• 若目标外部账号的ID存在统一规律（如特定前缀、范围），可在S3访问点策略中使用aws:PrincipalAccount条件键配合通配符或集合匹配：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::your-access-point-name/your-target-folder/*",
        "arn:aws:s3:::your-access-point-name/your-target-folder"
      ],
      "Condition": {
        "ForAnyValue:StringLike": {
          "aws:PrincipalAccount": ["123456*", "987654*"]
        }
      }
    }
  ]
}

• 这种方式无需逐个枚举账号，通过条件匹配批量授权，适合账号ID有规律的场景。

4. 使用AWS RAM批量共享权限 #

• 通过AWS Resource Access Manager（RAM）创建资源共享，将S3访问点（或限定到特定文件夹的权限）共享给目标外部账号。
• RAM支持批量导入账号列表，且不受单个策略20KB的大小限制，是批量授权外部账号的高效方式。
• 外部账号接受共享邀请后，其内部的IAM实体即可获得对应的访问权限。

内容的提问来源于stack exchange，提问作者manny