AWS控制台权限问询：非组织用户使用及外部账号资源授权

1. 能否使用不属于自身所在组织的用户访问AWS控制台？ #

当然可以，但得通过跨账户访问或者外部身份提供商（IdP）集成的方式实现，常见场景有两种：

• 其他AWS账号的IAM用户/角色：如果对方AWS账号给你创建了具备对应权限的角色，你可以在AWS控制台的「切换角色」功能里，输入目标账号ID、角色名称（可选加显示名称），完成身份切换后就能访问该账号的控制台资源。
• 外部身份提供商用户：如果你的组织用了Okta、Azure AD这类外部IdP，且已经和AWS IAM身份中心（或IAM身份提供商）完成集成，那么外部IdP的用户可以通过SAML认证直接登录AWS控制台，无需属于AWS本身的组织账号。

2. 能否为未由我创建的用户授予AWS资源权限？ #

完全可行！针对你提到的S3存储桶场景，有两种常用实现方式：

方式一：使用跨账户IAM角色 #

你可以在自己的AWS账号中创建一个IAM角色，将信任策略设置为允许目标用户所在的AWS账号（或具体的IAM用户ARN）扮演该角色，再给这个角色附加允许访问S3桶的权限策略。对方用户只需在自己的控制台切换到这个角色，就能访问你的存储桶。

方式二：配置S3桶策略 #

直接在你的S3存储桶权限策略中，添加允许目标用户（通过其ARN）访问桶的规则。举个简单的示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::目标账号ID:user/目标用户名"
      },
      "Action": [
        "s3:ListBucket",
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::你的桶名",
        "arn:aws:s3:::你的桶名/*"
      ]
    }
  ]
}

这种方式无需对方切换角色，只要你配置好桶策略，对方用户就能通过自己的AWS账号直接访问你的S3桶（前提是对方用户的IAM策略没有明确拒绝这些操作）。

内容的提问来源于stack exchange，提问作者WalksAway