RDS实例可以承担来自其他帐户的角色吗？
RDS实例是指关系型数据库服务（Relational Database Service）的实例，它是一种云计算服务，由云服务提供商提供。RDS实例可以承担来自其他帐户的角色，这是通过AWS Identity and Access Management（IAM）的角色和策略来实现的。
IAM是AWS的身份和访问管理服务，它允许您控制对AWS资源的访问权限。通过IAM，您可以创建和管理IAM用户、组和角色，并为它们分配适当的权限。当其他帐户需要访问您的RDS实例时，您可以创建一个IAM角色，并将其授权给其他帐户。这样，其他帐户就可以使用该角色来访问您的RDS实例。
为了使RDS实例承担其他帐户的角色，您需要执行以下步骤：
- 创建IAM角色：在AWS控制台中，使用IAM服务创建一个新的IAM角色。您可以为该角色指定适当的权限，以便其他帐户可以执行特定的操作。
- 授权其他帐户：在IAM角色的信任关系策略中，您需要添加其他帐户的AWS账号ID，以授权其使用该角色。
- 分配角色给RDS实例：在RDS控制台中，选择您的RDS实例，并将之前创建的IAM角色分配给该实例。
通过以上步骤，您就可以实现RDS实例承担来自其他帐户的角色。其他帐户可以使用该角色来执行与RDS实例相关的操作，例如管理数据库、备份和恢复等。
腾讯云提供了类似的云数据库服务，称为TencentDB，它也支持类似的角色承担功能。您可以在腾讯云的官方文档中了解更多关于TencentDB的信息和使用方式。
更多关于RDS实例的信息和腾讯云相关产品，请参考腾讯云官方文档：
- RDS实例概述：https://cloud.tencent.com/document/product/236/8469
- TencentDB产品介绍：https://cloud.tencent.com/product/tcdb
相关·内容
我目前正在建立一个基于的AWS体系结构。
作为起点，我有一个根组织，它有几个名为Infrastructure、Workloads和Deployments的组织单元。
我想要多个环境，例如Staging和Production，在我的问题中，让我们假设我只有Staging。
因此，根据最佳实践，我有以下服务帐户：
OU:基础设施，帐户: InfrastructureStaging
VPC:带有子网、因特网网关等的网络。ALB:带有目标组、侦听器等的应用程序负载均衡器。
OU:工作量，帐户: WorkloadStaging
ECS:具有Fargate集群、任务定义和服务的弹性容器服务
正如最佳实践中
浏览 1提问于2020-12-15得票数 0
1回答
我正在尝试从Account A Bucket将S3数据加载到account B的RDS实例中。我无法使用资源策略。它只需要使用IAM角色来完成。 我在帐户A中创建了一个角色，该角色可以访问S3存储桶。我在帐户B中创建了一个角色，该角色允许从帐户A承担角色。 如何使用它们将数据从帐户A加载到帐户B？
浏览 15提问于2019-09-24得票数 0
以2个AWS帐户A(其他团队)和B ( my )作为我的用例，我必须轮询A的AWS帐户中的队列以确定有效负载并在B中执行数据库操作。为此，我在B中创建了一个角色，可以访问我的数据库+A的帐户ID作为受信任的关系。同样，A还创建了一个角色，用于将访问A+添加的B中的队列作为受信任的关系。
执行所有轮询+数据库操作的代码将驻留在我的帐户(B )中的EC2上。现在，我如何从角色的角度使用有效负载并执行操作。我的理解正确吗？
承担作用A
投票到供应队列，从SQS获取JSON有效负载
承担作用B
在Oracle RDS中执行数据库操作
承担作用A
返回响应SQS的响应
在供应
浏览 4提问于2020-03-24得票数 0
我有一个拥有主账户(账户A)和第二个账户(账户B)的组织。我希望创建一个角色，这样帐户B中的所有实例都将具有从帐户A中的所有内容读取数据的权限。例如，帐户B中的EKS将能够从帐户A中的ECR中提取数据，或者帐户B中的资源将能够从帐户A中的RDS或S3读取数据。
我如何创建一个角色并将其应用于帐户B中的所有当前和未来资源，以便他们能够对帐户A中的资源进行完整的阅读评估？
浏览 0提问于2019-12-31得票数 1
2回答
这就是我想做的-我有三个不同的帐户-帐户A，帐户B和帐户C。
我从帐户A中的角色开始。这个角色允许在帐户B中承担另一个角色。这个角色在帐户B中允许访问来描述帐户C中的s3桶。
这就是我的问题所在。我是否能够通过先在帐户B中假设一个角色，然后使用这个凭证，在帐户C中假设一个角色来描述3个桶来描述帐户C中的存储桶？
我想可能两次使用STS。这是否可行？我确实意识到，在另一个问题中有两个账户是有可能的。但这能从三个不同的账户中实现吗？
类似于这个问题中的例子会有效吗？
我对把帐户寄给帐户C是帐户A或帐户B的地点有疑问吗？
帐户C目前的作用是只允许帐户B承担它。帐户B的作用只允许帐户A访问它。
浏览 0提问于2019-01-24得票数 5
回答已采纳
1回答
我将策略附加到AWS中的角色。
"AssumeRolePolicyDocument": {
"Version": "2012-11-17",
"Statement": [
{
"Sid": "",
"Effect": "Allow",
浏览 0提问于2021-06-16得票数 0
如果角色没有信任策略，是否可以担任该角色？如果给定的IAM用户具有附加的基于身份的策略，表示他/她可以为给定角色(在同一帐户内)调用sts:AssumeRole，但该用户未在该角色的信任策略中进行描述，他/她是否能够承担该角色？ 通常，只有基于资源的策略或基于身份的策略应该足以为用户提供权限，但是角色是否有所不同？ 谢谢
浏览 44提问于2021-03-01得票数 6
回答已采纳
什么工作
我们有几个EC2实例，它们在引导时(以及其他时候)从S3桶中提取东西。为了允许这一点，我们有一个允许只读访问的IAM策略.
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::BUCKET"
]
"Effect": "Allow",
"Action": [
"s3:GetObject"
],
浏览 0提问于2022-06-07得票数 0
我需要从我的“工具”帐户访问我的暂存/prod帐户的VPC中的资源(我在两个VPC中都有一个RDS实例，希望将模式升级自动化作为CI/CD的一部分)。
如何从"tools“帐户中堆栈中的暂存/prod帐户导入VPC？
不工作，因为它在堆栈的区域和帐户中搜索VPCs，但在其他区域/帐户中不工作。
编辑：
我想让“工具”帐户中的CodeBuild项目(CodePipeline的一部分)访问prod/暂存帐户的VPC中的RDS实例。为了给它访问权限，我在项目上使用了CodeBuild。
我不确定使用Code流水线/CodeBuild处理模式升级的最佳方法是什么。理想情况下，RDS实例应该位于
浏览 1提问于2020-05-25得票数 4
回答已采纳
我们有多个AWS帐户和一个管理帐户。我们在管理帐户中有一个web应用服务器。在此服务器上，我们可以使用机密和访问密钥在多个AWS帐户上创建EC2实例。但是，我们希望使用IAM角色在其他AWS帐户上启动实例。是否可以使用IAM角色(而不是使用访问和秘密密钥)在其他AWS帐户上使用lauch实例？
浏览 4提问于2022-08-02得票数 0
回答已采纳
2回答
AWS IAM可信实体
、、、、
在AWS IAM中，我们可以创建角色，角色具有一组策略，这些策略确定在角色已由服务、用户等承担时允许的内容。
如果我创建一个受信任实体为"ec2.amazonaws.com“的角色，这基本上意味着，我们可以将该角色附加到ec2 like profile，还是意味着我们可以通过提供来自ec2的承担角色来从该实例运行terraform，或者它可以使用cli，如果我从另一个account ec2实例运行terraform，它是否有效。
如果我通过承担角色从本地运行terraform，那么在该角色的受信任实体中应该赋予什么？
浏览 5提问于2021-03-26得票数 0
假设我有一个EKS集群，具有多个承载不同应用程序的荚。我希望允许从特定应用程序连接到RDS实例，而不允许EKS集群中的所有吊舱连接到RDS。经过一些研究，我发现有一种解决这个问题的网络方法，就是为豆荚创建安全组。但我正在寻找另一种方法。
我本来希望在可能的地方有一个简单的设置：
创建具有读/写权限的，创建IAM角色，并将策略创建服务帐户(IAM和k8s服务帐户)附加到角色中，将服务帐户分配给我希望授予RDS访问权限的pods。
但是这似乎是让IAM认证从荚到RDS的唯一方法，就是每15m持续生成一个令牌。这是唯一的办法吗？
浏览 5提问于2022-03-31得票数 0
1回答
我希望将(不共享)、EC2、AMI和RDS快照从一个帐户复制到另一个帐户。
我还想让这个过程自动化。
帮助会很感激的。
浏览 5提问于2022-08-04得票数 -1
有人知道如何使用CDK/CloudFormation将服务关联角色(带后缀的自动伸缩角色)传递给自动伸缩组吗？
我已经成功地将默认的自动伸缩服务角色访问权限授予了居住在另一个帐户中的CMK。但是，我不希望所有具有默认角色的自动伸缩组都可以访问密钥。
我假设最好的解决方案是引导服务关联角色并授予它CMK访问权限，但是我该如何传递该角色呢？(这不是实例可假定的角色)
浏览 13提问于2021-03-10得票数 4
回答已采纳
2回答
我正试图通过Python连接到我的RDS MySQL DB。我正在使用Boto3库。我面临的问题是试图通过IAM令牌生成方法连接到DB。我没有在IAM中创建用户，而是创建和分配了一个角色。
当我试图连接到DB时，代码会失败，因为它希望在..aws/配置文件中存储一个密钥对。下面的片段。
# gets the credentials from .aws/credentials
# session = boto3.Session(profile_name='xyz')
client = boto3.client('rds',region_name='eu-w
浏览 2提问于2021-03-11得票数 3
回答已采纳
1回答
给定使用此权限创建的IAM角色：
{
"Version": "2012-10-17",
"Statement": [
{
"Action": "sts:AssumeRole",
"Principal": {
"Service": "lambda.amazonaws.com"
},
"Effect": "Allow",
"Sid":
浏览 0提问于2018-06-20得票数 2
回答已采纳
2回答
我的目标是让一个帐户中的EC2实例从另一个帐户中的S3桶中读取。我遵循了教程。
我在一个具有内联策略的EC2实例上附加了一个角色，该策略允许EC2在另一个帐户中扮演另一个角色。
下面是一个例子：
附加到EC2实例的角色：RoleA - AccountID: 11111111111
将承担的角色：RoleB - AccountID: 22222222222
. .aws/config
[profile RoleA]
role_arn = arn:iam::22222222222:role/RoleB
credential_source = EC2InstanceMetadata
当我运行命令aw
浏览 13提问于2020-08-18得票数 1
回答已采纳
我有一个AWS Lambda，它在我的帐户中查询EC2实例，我称它为帐户A，它工作得很好，我可以看到它正在查找我的服务器。我还希望lambda在同一时间查询另一个亚马逊网络服务账户中的EC2实例，我将该账户称为B-这可能吗？ 我有以下策略，允许lambda承担帐户B中的角色，但它只查询相同的服务器-都在帐户A中-我只是想知道我是否遗漏了什么？ 以下是我附加到lambda角色的策略： {
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Assu
浏览 23提问于2021-11-11得票数 0
回答已采纳
用例是：
用户希望使用我的服务在他们的AWS帐户中创建Dynamo表。这是可选的，取决于用户，我们还必须在AWS帐户中创建dynamo表。
现在，用户将在他/她的AWS帐户中创建的Dynamo表中放置数据和使用我的服务进行的所有操作。
我试过的是：
用户可以创建一个IAM角色，我们可以切换角色，然后访问dynamo服务并执行所有操作，但是在EC2中，我们可以一次承担多个角色吗？将会有多个用户。如果是的话，这对多个用户可行吗？
在这种情况下，用户需要创建一个角色，然后我们需要假设它，为了减少用户数量，我们有可能在AWS帐户中创建一个IAM用户，然后“用户”只需要白名单我们的IAM
浏览 2提问于2020-05-26得票数 2
回答已采纳
我有S3桶“交叉桶”，比如B.Now，我希望帐户A中存在的EC2在帐户B中访问这个桶“交叉桶”。
我需要使用IAM角色来实现这一点，因为我们不允许创建用户。
我使用了下面的模板来创建帐户B中的角色
AWSTemplateFormatVersion : '2010-09-09'
Description: 'Cross account role for S3'
Parameters:
AccountId:
Type: String
Description: Account ID of admin account (containing us
浏览 5提问于2020-07-13得票数 0
回答已采纳
1回答
如何为系统帐户创建具有AIS权限边界的IAM角色？
如果在帐户1中创建了IAM角色但与帐户2共享，那么能否在一个AWS帐户中承担多个这样的IAM角色？。在帐户2中，机器人可以承担这样的角色吗？
浏览 3提问于2022-09-06得票数 0
1回答
根据EC2实例和用户限制访问S3
、、、、
我在之前的文章中看到过，我可以使用EC2实例IAM角色限制对S3存储桶的访问。但这里的问题是，如果我有一个帐户，其中有多个用户，我不能将IAM角色的使用限制为该帐户中的特定组或个人。这种无能阻止我阻止该帐户中的任何人使用该IAM角色旋转实例。
因此，我的两难境地是，如果我根据EC2角色授予了S3访问权限，但无法锁定某个帐户中可以使用该角色的用户，则会向该帐户中的每个人打开我的S3存储桶。
请告诉我是否有方法可以(1)限制使用特定角色启动的EC2实例，或者(2)根据登录到实例的EC2角色和用户限制S3访问。
浏览 0提问于2017-03-17得票数 1
我们正在尝试通过SAML实现带身份验证的Redshift。
在我们的案例中，我们有许多AWS账户，Redshift集群就是其中之一。我们需要通过角色实现从这些帐户到托管群集的帐户的访问。放弃了必须管理用户/密码的必要性。
我们实现的方式已经可以使用IAM角色登录，但我们仍然需要跨帐户。
有没有人知道这是否可能？
浏览 0提问于2020-07-16得票数 0
1回答
我正在设置AWS以具有多个帐户，其中IAM用户定义在一个帐户中，我们的资源定义在一个或多个其他帐户中，并设置了允许用户在生产和暂存帐户上承担角色的策略。我正在使用这个作为指南。简而言之，方法是调用aws sts get-session-token来获取临时凭据(如果使用MFA，就必须这样做)，然后使用这些凭据来调用assume-role来实现您想要的角色。
但是，使用临时凭据似乎不能使用持续时间超过一个小时的assume-role。当我运行这个：
aws sts assume-role --role-arn arn:aws:iam::<REDACTED>:role/power-us
浏览 1提问于2018-06-02得票数 5
回答已采纳
我面临着将Python Lambdas连接到RDS代理的困难时期。
我有rest，它有一些Javascript和python，我使用CDK管理和部署所有东西。我确保lambdas能够连接到RDS代理，并处理所有角色和权限。
在Javascript和Python中，我生成一个auth令牌，用作使用RDS代理进行IAM身份验证的密码。
问题是总是抛出这个错误：
对于postgres角色，IAM身份验证失败。请检查此角色的IAM令牌，然后重试。
而Javascript没有，并连接到代理。
我在中使用psycopg2，下面是创建db引擎的方法。
session = boto3.Session(
浏览 5提问于2022-04-06得票数 1
我试图为CloudTrail > S3 > SQS > Splunk工作流配置权限。
https://docs.splunk.com/Documentation/AddOns/released/AWS/ConfigureAWSpermissions
我创建了一个角色，并附加了一个策略来授予S3、SQS等的权限。
我去了信任关系策略，并添加了相同的帐号和用户，因为用户将在同一个帐户。
然后，我转到用户那里，将一个策略附加到assumeRole，并提供了角色名称和完整的ARN。
然后启动一个EC2实例，转到aws配置，提供访问、密钥和区域。
然后运行aws s3 ls或aws s
浏览 0提问于2018-12-13得票数 9
1回答
我想在IAM角色AWS中创建一个影响拒绝sns:DeleteTopic到特定帐户的策略。
我试一下这个
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Deny",
"Action": "sns:DeleteTopic",
浏览 0提问于2021-06-06得票数 0
在这种情况下，我希望从AWS (交叉帐户访问)中的另一个帐户访问代码中的资源。我希望使用NodeJs实现这种访问，它是作为lambda函数实现的，也是在EC2上作为一个长时间运行的代码实现的。
在阅读如何在网上进行此操作时，我知道我需要aws.STS生成的临时凭据，如下所示：
const AWS = require('aws-sdk');
const sts = new AWS.STS();
const stsResults = await sts.assumeRole({
RoleArn: 'arn:aws:iam::111111111111:role/ro
浏览 4提问于2020-03-22得票数 12
回答已采纳
这一页写着这些。这些究竟是什么意思？这个限制有什么问题吗？
SCPs不影响任何服务链接角色.服务链接角色使其他AWS服务能够与AWS组织集成，并且不能受到SCP的限制。
使用附加到服务链接角色(在“任务和实体不受SCPs限制的任务和实体”部分)附加的权限执行的任何操作。
想法
用户可以使用任何权限创建新的服务链接角色，而不管SCP。因此，用户可以让EC2实例(例如)做用户不能直接做的事情。
用户可以使用SCP允许的权限创建新的服务链接角色。但是，服务链接角色可以由同一组织内的其他帐户共享。因此，共享服务链接角色可能具有SCP不允许的权限。
浏览 6提问于2021-09-20得票数 1
回答已采纳
2回答
我有一个程序，通过许多帐户和盘存。现在，它正在使用boto3和AWS密钥。
我想从aws键移开，而是将角色分配给实例，并使用该角色来切换帐户。
我知道如何为用户分配外部角色，但是我不知道如何使用实例角色来完成这个任务。
这里的想法是做这样的事情：
从主要组织帐户获取所有帐户的列表
对于每个帐户，使用ec2 (和其他服务)承担角色，描述角色
获取库存
将角色切换到另一个帐户。
有什么办法做到这一点吗？
浏览 0提问于2018-08-18得票数 0
回答已采纳
4回答
我已经在我的一个帐户(例如帐户A)中创建了一个跨帐户IAM角色，并希望将该角色附加到另一个帐户(帐户B)中的ec2实例中。
我尝试用sts在with中创建一个新角色:AssumeRole，指向A中的角色，并将其附加到B中的ec2实例中。
ec2实例如何在A中承担跨帐户角色？
浏览 0提问于2017-05-03得票数 18
回答已采纳
我在生产帐户中有生产堆栈，在开发帐户中有开发堆栈。这些堆栈是相同的，设置如下：
每个堆栈作为自己的VPC。
在VPC中有两个公共子网跨越AZs，两个私有子网跨越AZs。
私有子网包含RDS实例。
公共子网包含一个Bastion EC2实例，它可以访问RDS实例。
要访问RDS实例，我要么必须将SSH放入Bastion机器并从那里访问它，要么通过Bastion创建一个SSH隧道来通过数据库客户端应用程序(如PGAdmin )访问它。
当前DMS设置：
我希望能够使用DMS (数据库迁移服务)将RDS实例从生产复制到开发。到目前为止，我正在尝试以下几种方法，但无法使其发挥作
浏览 4提问于2019-03-25得票数 3
Account A 1234567890通过特定角色授予帐户B 0987654321访问一组AWS服务：
arn:aws:iam:1234567890:role/bunch_of_access
还有另一个帐户C与B的所有者相同，它需要相同的角色访问权限，但无法通过帐户A。
Is帐户B允许帐户C也使用 arn:aws:iam:1234567890:role/bunch_of_access role?的一种方法
Or是否有一种方法可以创建一个新角色，让account访问帐户B中的根角色以获得对 arn:aws:iam:1234567890:role/bunch_of_access 的访问
浏览 6提问于2022-08-08得票数 -1
我目前正在使用Terraform和S3远程状态。我用来运行Terraform的IAM用户与保存远程状态文件的S3桶存在相同的AWS帐户中。一切都很顺利。
但是，我在其他AWS帐户中有IAM用户(都是同一个AWS组织的一部分)，我希望授予他们在主帐户中使用terraform的权限。看来我应该可以用我的角色来做这件事了。我在主帐户中创建了一个IAM角色，并将aws提供程序的D1属性配置为在主AWS帐户中承担一个角色。
但是，这种方法失败了，因为其他AWS帐户中的用户无法访问S3中的远程状态文件。我尝试将远程状态文件的访问权限授予IAM角色，但terraform显然试图在加载aws提供程序和假定新的
浏览 0提问于2019-03-04得票数 0
2回答
我目前正在尝试通过DMS建立从RDS (MySQL)到Redshift的复制。RDS的端点正在工作，而Redshift的端点则不起作用。这是我的设置：
VPC
RDS、DMS和Redshift运行在同一个VPC中，共享相同的子网。
角色
根据AWS文档，我为DMS (dms-vpc-role，dms-cloudwatch-logs-role)实现了所需的角色，为Redshift (dms-access-for-endpoint)实现了特定角色。
安全组
安全组设置也是相同的。RDS和Redshift都有两个安全组(空组和引用空组的入口组)。入口安全组的入站规则如下，出站规则默认为允许所有传出通
浏览 23提问于2020-06-18得票数 3
回答已采纳
2回答
如何让每个在另一个帐户中扮演角色的用户拥有访问令牌？
我的用户在根帐户上有一个访问令牌。他们可以通过假定的角色访问另一个帐户(dev)。
我现在卡住了，因为在dev帐户上，我没有相同的用户。这意味着我不能给他们一个访问令牌来使用ECR。
我需要在两个帐户上创建用户吗？
浏览 0提问于2018-02-22得票数 0
回答已采纳
1回答
我正在寻找一个S3桶策略，它可以授予/限制特定的联邦用户对桶的访问权限。aws中的联合用户使用IAM角色。是否有什么方法可以限制对用户的访问，即使用户已经承担了这个角色。有什么方法可以在桶策略中指定联邦用户吗？另外，S3桶在另一个帐户中。
浏览 1提问于2019-07-19得票数 2
根据AWS文件，
要访问不同帐户中的角色的用户还必须具有用户帐户管理员委派的权限。管理员必须附加一个策略，允许用户为另一个帐户中角色的ARN调用AssumeRole。
我理解这一要求。但是，我不知道为什么在角色的“信任关系”中仍然需要再次指定“AssumeRole”操作。允许/限制主体(使用'AssumeRole‘操作)来承担特定角色和所承担的角色信任假设主体(在其“信任关系”中)是有意义的，但不确定角色本身为什么必须在其信任关系中指定'AssumeRole’操作。这些角色总是应该是可以承担的--不是吗？或者，在角色的“信任关系”中指定“AssumeRole”行为的意义
浏览 0提问于2020-02-15得票数 0
回答已采纳
我开始把我们的秘密从AWS参数存储转移到AWS秘密管理器，目前我正面临一个我无法解决的问题，有人能提供任何洞察力吗？
我们有一个AWS帐户(让我们称之为身份帐户)，我们管理所有IAM用户和组。我们有另一个AWS帐户，它承载了我们的水下帐户(让我们把这个称为下位帐户)。我们希望管理身份帐户中的所有用户，让用户在下面的帐户中扮演poweruser角色，这样我们就可以在一个地方管理所有用户。
在下面的帐户中，我们已经运行了RDS，我们希望为我们的开发人员创建DB用户，这样他们就可以登录数据库进行调试，但我们也想审计他们做了什么，以防有人对我们的数据库做了坏事，所以我们需要为每个开发人员创建一个DB用
浏览 0提问于2018-07-12得票数 2
com.amazonaws.AmazonClientException: com.amazonaws.AmazonServiceException:角色不能由根帐户承担。(服务: AWSSecurityTokenService；状态代码: 403；错误代码: AccessDenied；
我创造了一个角色它的信任关系是：
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Princip
浏览 0提问于2016-05-19得票数 3
回答已采纳
我正在努力为AWS CloudFormation模板确定逻辑流，该模板将承担一个IAM角色，该角色可以从另一个AWS帐户中的S3桶中提取文件。
到目前为止，我得到的是：
accountA有一个roleA
roleA的策略允许sts:AssumeRole在accountB :arn:aws:iam:11122233444:accountB/AllowPullS3 3中扮演角色。
accountB的角色(AllowPullS3)与
策略允许:S3 listBucket + get、put、delete
accountA的信任关系:行动：“sts:AssumeRole”
浏览 3提问于2014-05-14得票数 10
要点:我在AWS帐户'B‘中有几个ECR存储库，并希望将操作限制为帐户'A’中的'admin-users‘IAM组。我正在通过Cloudformation创建这些资源。
我有一个关于repos的策略，它将操作限制到位于A中的“admin- role”IAM角色。因此，我希望只允许“admin-users”的成员能够承担该角色；但是，组不能成为主体，并且似乎没有测试组成员资格的条件。我相信我能够允许管理员用户通过管理员用户上的内联策略来承担管理员角色，但是角色上需要AssumeRolePolicyDocument，并且我看不到任何方法来创建无操作假设角色策略。
浏览 0提问于2017-01-25得票数 4
2回答
假设我有一个包含25个aws帐户的组织，其中每个帐户可能包含或不包含一些保留的RDS实例。因此，我需要使用boto3连接我的组织，并迭代每个帐户来检查RDS保留的实例。我在一个帐户级别上做什么来检查RDS实例。
此代码将列出单个帐户中存在的所有RDS实例。
示例代码
#!/usr/bin/env python
import boto3
client = boto3.client('rds')
response =
client.describe_db_instances()
for i in response['DBInstances']:
db_nam
浏览 7提问于2022-03-14得票数 0
回答已采纳
我有2个AWS账户：-有ECR回购的账户A。-拥有运行Fargate的ECS集群的帐户b。
我已经在帐户A中创建了一个与帐户B具有信任关系的“跨帐户”角色，并将"AmazonEC2ContainerRegistryPowerUser“策略附加到此角色。
通过将帐户B的id和“跨帐户”角色添加到存储库策略，我授予了对帐户A中的ECR存储库的访问权限。
我给法尔盖特"TaskExecutionRole“附加了一个策略，允许法尔盖特承担”跨账户“的角色。
当尝试在帐户B中部署一个引用帐户A中的镜像的Fargate任务时，我得到了一个500错误。
浏览 6提问于2018-10-21得票数 15
因此，正如在标题中提到的，我需要使用boto3和python承担我的一个子帐户的角色。我是从主帐户提出请求，并与一个IAM用户的原因，因为我读取一个根帐户不能承担的角色，只有用户。因此，用户被创建，具有管理权限，我还创建了一个自定义策略，下面是JSON：
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "sts:*&
浏览 1提问于2019-07-06得票数 0
我有一个cloudfront，假设我在帐户A中，我想从另一个AWS帐户中的构建服务器访问此cloudfront。
如何授予IAM角色对帐户A中cloudfront的访问权限(帐户B)。
注意:请考虑角色而不是IAM用户。
浏览 3提问于2019-12-06得票数 0
1回答
我需要我的RDS Postgres数据库上的事件触发器。最终，每当模式发生更改时，都需要通知我。在普通的旧Postgres (即非RDS实例)中，这很好。但是，在RDS中运行以下代码：
CREATE EVENT TRIGGER audit ON ddl_command_start EXECUTE PROCEDURE stat_audit();
在以下方面的成果：
ERROR: permission denied to create event trigger
HINT: Must be superuser to create an event trigger.
据我所知，RDS上最有特权的
浏览 3提问于2016-03-22得票数 7
回答已采纳
1回答
我想为AWS (PostGreSQL)中的所有RDS实例创建一个只读帐户。我首先创建了一个IAM组，并附加了AmazonRDSReadOnlyAccess策略。我创建了一个新的IAM用户，并将他放在这个组中。我不能用这个新的只读用户连接到我们的数据库(通过我们的管理帐户成功测试)。现在我意识到数据库本身没有只读用户。这就引出了我三个问题：
如果我可以在数据库中创建只读DB用户，那么为RDS实例创建只读IAM用户有什么意义吗？
当我通过命令行访问数据库时，例如。psql正如我所理解的，这是DB用户的名称，那么创建一个单独的RDS IAM只读用户有意义吗？
如果我有一个RDS的只读IAM用户，如果
浏览 0提问于2016-09-09得票数 1
回答已采纳
3回答
我有两个账户，a1和a2。
我在a1，a1.ec2中有一个a1.ec2实例。它在这个帐户中扮演了某种角色，a1.r。此角色完全可以访问所有ECR操作。
现在，我在a2中有了一个图像注册表(ECR)，并且希望能够从a1.ec2访问它。
因此，我对该实例进行了ssh处理，为了测试我运行的访问
aws ecr describe-repositories --region <my-region> --registry-id <id of a2>
但我明白错误
An error occurred (AccessDeniedException) when calling the D
浏览 13提问于2019-09-17得票数 2
回答已采纳
我有一个审计容器，它可以对各种AWS API进行扫描。我希望在prod帐户中以ECS任务的形式运行所有这些任务，但扫描其他帐户中的资源。是否可以将另一个帐户中的角色设置为任务角色？我尝试将任务定义中的taskRoleArn设置为来自另一个帐户的所需角色的ARN，但我得到了错误消息“角色无效”
我有一个简单的信任关系的角色从另一个帐户(111111111111是prod帐户)：
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow
浏览 3提问于2020-01-14得票数 2
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
