配置对 Amazon DynamoDB 的跨账户访问

Shashi Dalmia、Imhoertha Ojior 和 Esteban Serna Parra，Amazon Web Services

Summary

此模式说明了使用基于资源的策略来配置对 Amazon DynamoDB 的跨账户访问的步骤。对于使用 DynamoDB 的工作负载而言，采用工作负载隔离策略来最大限度地降低安全威胁并满足合规性要求已日渐盛行。实施工作负载隔离策略通常需要使用 AWS Identity and Access Management 基于身份的 (IAM) 策略跨账户和跨区域访问 DynamoDB 资源。这包括设置 IAM 权限并在两者之间建立信任关系 AWS 账户。

DynamoDB 基于资源的策略极大地简化了跨账户工作负载的安全态势。此模式提供了步骤和示例代码，用于演示如何将 AWS Lambda 函数合而为一， AWS 账户 以便将数据写入其他账户的 DynamoDB 数据库表。

先决条件和限制

先决条件

限制

架构

下图显示了单账户架构。 AWS Lambda、亚马逊 Elastic Compute Cloud（亚马逊 EC2）和 DynamoDB 都在同一个账户中。在这种情况下，Lambda 函数和亚马逊 EC2 实例可以访问 DynamoDB。要授予对 DynamoDB 表的访问权限，您可以在 IAM 中创建基于身份的策略，也可以在 DynamoDB 中创建基于资源的策略。

下图显示了多账户架构。如果一个中的资源 AWS 账户 需要访问其他账户中的 DynamoDB 表，则需要在 DynamoDB 中设置基于资源的策略来授予所需的访问权限。例如，在下图中，使用基于资源的策略向账户 B 中的 Lambda 函数授予访问账户 A 中的 DynamoDB 表的权限。

此模式描述了 Lambda 和 DynamoDB 之间的跨账户访问。 AWS 服务 如果两个账户都配置了相应的权限，则可以对其他账户使用类似的步骤。例如，如果您想向 Lambda 函数提供对账户 A 中 Amazon Simple Storage Service（Amazon S3）存储桶的访问权限，则可以在 Amazon S3 中创建基于资源的策略，并将权限添加到账户 B 中的 Lambda 执行角色。

工具

AWS 服务

代码

此模式包含其他信息部分中的示例代码，展示了如何在账户 B 中配置 Lambda 函数以写入账户 A 中的 DynamoDB 表。提供的代码仅供说明和测试之用。如果您在生产环境中实现此模式，请使用代码作为参考并针对您自己的环境进行自定义。

最佳实践

操作说明

 aws dynamodb create-table \
    --table-name Table-Account-A \
    --attribute-definitions \
      AttributeName=category,AttributeType=S \
      AttributeName=item,AttributeType=S \
    --key-schema \
      AttributeName=category,KeyType=HASH \
      AttributeName=item,KeyType=RANGE \
    --provisioned-throughput \
      ReadCapacityUnits=5,WriteCapacityUnits=5 \
    --resource-policy \
      '{         
          "Version": "2012-10-17",		 	 	 
          "Statement": [
            {                    
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::<Account-B-ID>:role/<Role-Name>"
               },
               "Action": "dynamodb:PutItem",
               "Resource": "arn:aws:dynamodb:<Region>:<Account-A-ID>:table/Table-Account-A"
            }            
         ]
      }'

问题排查

相关资源

附加信息

示例代码

import boto3
from datetime import datetime

dynamodb_client = boto3.client('dynamodb')

def lambda_handler(event, context):
     now = datetime.now().isoformat()
     data = dynamodb_client.put_item(TableName='arn:aws:dynamodb:<Region>:<Account-A-ID>:table/Table-Account-A', Item={"category": {"S": "Fruit"},"item": {"S": "Apple"},"time": {"S": now}})
     return data