从GovCloud EC2实例访问商业S3 Bucket

Question

我有一个在商业AWS账户中的S3存储桶。我的EC2实例位于govcloud S3账户中。我尝试在govcloud账户中创建IAM角色，选择了“另一个AWS账户”选项并输入了商业AWS账户号码，但它不让我设置此信任。一直提示错误：策略中的无效主体：“AWS”：“[商业账户号码]”。如果我尝试在商业账户中创建相同的IAM角色，并使其信任govcloud，它会给我相同的错误。我甚至尝试在商业账户中创建一个新的S3存储桶，并拥有允许从govcloud账户访问的存储桶策略，但它抱怨主体无效：

"Principal": {
                "AWS": "arn:aws-us-gov:iam::[govcloud account ID]:user/root"
            },

如果我尝试在两个GovCloud帐户或两个商业帐户之间建立以上信任，它可以正常工作。希望有人能够帮助我。先感谢您。

- Tina

Answer 1

引用 IAM 关于 AWS GovCloud（美国）的 IAM 差异 文档中的一句话：

您无法创建角色以委派 AWS GovCloud（美国）帐户和标准 AWS 帐户之间的访问权限。

此外，请注意 IAM 凭证受 ITAR 管制数据保护。

- jarmod

---

谢谢您的迅速回复。这是否意味着在商业账户内创建的S3存储桶不能有一个允许来自GovCloud内IAM用户/角色访问的存储桶策略？ - Tina

据我所知，商业区域和GovCloud凭证互相不知道对方的存在。它们是两个不同的身份分区。 - jarmod

@jarmod 是正确的；三个互联网连接的 AWS 分区（aws、aws-us-gov 和 aws-cn）都是完全独立的 AWS 堆栈，除了客户端工具（这些工具有硬编码查找表以命中特定区域的分区特定服务端点）之外，没有任何共享。 - user187557