无AWS账号用户共享同步S3存储桶的最优策略及CLI令牌方案咨询

首先，你的场景需要兼顾**内部团队（有AWS账号）和外部人员（无AWS账号）**的同步需求，同时支持云端访问，我会分场景给出最实用的方案：

一、内部团队成员的同步方案（保留原有习惯） #

对于已有AWS账号的团队成员，不需要改变太多操作方式：

• 给他们的IAM账号（或通过IAM组批量管理）分配S3桶的精细化读写权限（比如s3:ListBucket、s3:GetObject、s3:PutObject等必要权限），权限范围可以限定到特定桶甚至特定前缀，避免过度授权。
• 他们依然可以用熟悉的aws s3 sync local/path s3://your-bucket/path命令完成同步，配合自己的AWS CLI配置即可。

二、外部人员的首选策略（无AWS账号） #

针对无AWS账号的外部人员，推荐以下两种优先级最高的方案，兼顾易用性和安全性：

1. AWS IAM Identity Center（联合身份+临时凭证） #

这是最符合AWS最佳实践的方案，既能让外部人员使用AWS CLI执行s3 sync，又能严格控制权限有效期：

• 配置IAM Identity Center的外部身份提供商（IdP），比如支持Google、Microsoft Azure AD等常见身份系统，让外部人员用自己的现有账号登录。
• 为外部人员创建对应的权限集，限定他们只能访问目标S3桶的读写权限（甚至可以细化到特定文件前缀）。
• 外部人员登录IAM Identity Center门户后，可获取临时安全凭证（Access Key ID、Secret Access Key、Session Token），或者直接用AWS CLI执行aws sso login命令完成身份验证，之后就能像内部成员一样使用aws s3 sync同步数据。
• 优势：凭证是短期有效的（默认1小时，可调整），无需长期密钥，权限可精细化管控，还能统一审计访问日志。

2. AWS Transfer Family（SFTP/FTP/FTPS） #

如果外部人员对AWS CLI不熟悉，或者你不想让他们接触AWS生态，Transfer Family是更轻量化的选择：

• 创建Transfer Family服务器，关联你的S3桶，设置SFTP/FTP协议。
• 为每个外部人员创建Transfer用户，分配对应的S3桶路径权限（比如只能访问特定前缀）。
• 外部人员可以用常见的SFTP CLI工具（比如lftp、sftp命令）或者图形客户端，通过用户名+密码/SSH密钥的方式连接，执行类似同步的操作（比如mirror命令实现本地与S3桶的双向同步）。
• 优势：无需AWS账号，操作方式更通用，适合非技术背景的外部人员，同样支持权限管控和日志审计。

三、关于“读写访问令牌供AWS CLI使用”的问题 #

完全可以实现，但绝对不应该给外部人员长期的IAM Access Key（风险极高，容易泄露或滥用），正确的方式是使用短期临时凭证：

• 通过上述IAM Identity Center方案，外部人员可以获取临时的Access Key ID、Secret Access Key和Session Token，将这些凭证配置到AWS CLI的~/.aws/credentials文件中（或者通过环境变量），就能直接执行aws s3 sync命令。
• 示例配置（临时凭证）：

  [external-user]
  aws_access_key_id = YOUR_TEMP_ACCESS_KEY
  aws_secret_access_key = YOUR_TEMP_SECRET_KEY
  aws_session_token = YOUR_SESSION_TOKEN
  

  之后执行aws s3 sync --profile external-user local/path s3://your-bucket/path即可。

额外注意事项 #

• 无论哪种方案，都要开启S3桶的服务器访问日志和CloudTrail审计日志，跟踪所有访问和操作记录。
• 对于外部人员的权限，遵循最小权限原则，只给他们完成工作所需的最基础权限（比如只允许读写特定前缀，禁止删除对象等）。
• 如果需要云端访问数据，上述方案都支持：内部成员可直接通过AWS控制台/CLI访问，外部人员通过Identity Center门户或Transfer Family访问，若为公开可读内容也可搭配S3静态网站托管，但需严格控制权限范围。

内容的提问来源于stack exchange，提问作者Leander