跨AWS账户将弹性IP关联至实例的CLI实现问题

首先明确核心限制：弹性IP默认归创建它的账户（你的账户A）所有，无法直接用账户A的CLI关联到账户B的实例，必须先完成弹性IP所有权转移，再由账户B完成关联操作。具体步骤如下：

1. 账户A操作：解绑并转移弹性IP #

先执行你已写的解绑命令，确保弹性IP与你的实例脱离关联：

aws ec2 disassociate-address --public-ip 00.00.000.00

接着执行转移命令，需要提前获取朋友账户B的AWS账户ID（格式如123456789012）：

aws ec2 transfer-address-to-account --public-ip 00.00.000.00 --account-id 123456789012

命令执行后会返回一个transfer-id，将这个ID发给朋友用于后续操作。

2. 账户B操作：接受转移并关联实例 #

朋友用自己的AWS CLI执行接受转移命令，替换TRANSFER_ID为你提供的ID：

aws ec2 accept-address-transfer --transfer-id TRANSFER_ID

接受成功后，该弹性IP正式归账户B所有，此时执行关联命令绑定到他的实例：

aws ec2 associate-address --public-ip 00.00.000.00 --instance-id i-00000000

3. 自动化脚本优化建议 #

如果要将流程做成自动化脚本，需注意以下几点：

• 权限配置：给账户A的IAM用户添加ec2:DisassociateAddress、ec2:TransferAddressToAccount权限；给账户B的IAM用户添加ec2:AcceptAddressTransfer、ec2:AssociateAddress权限。
• 多账户CLI切换：通过AWS CLI的多profile实现账户切换，需提前在~/.aws/config和~/.aws/credentials中配置两个账户的凭证信息。

示例自动化脚本（需提前配置account-a和account-b两个profile）：

# 账户A解绑并转移IP
aws ec2 disassociate-address --public-ip 00.00.000.00 --profile account-a
TRANSFER_ID=$(aws ec2 transfer-address-to-account --public-ip 00.00.000.00 --account-id 123456789012 --profile account-a --query TransferId --output text)

# 账户B接受转移并关联实例
aws ec2 accept-address-transfer --transfer-id $TRANSFER_ID --profile account-b
aws ec2 associate-address --public-ip 00.00.000.00 --instance-id i-00000000 --profile account-b

额外说明 #

• 弹性IP转移后无法自动转回账户A，需账户B主动执行转移操作才能回流。
• 若两个账户实例处于同一VPC，需确保该VPC已通过AWS Resource Access Manager完成跨账户共享，否则转移后的弹性IP无法关联到账户B的实例。

内容的提问来源于stack exchange，提问作者user14721432