云服务跨账号资源授权管理，关键不是让另一个账号“能登录”，而是明确谁能访问哪些资源、执行什么操作，以及授权何时失效。常见做法有五种：角色委派、资源策略、组织内共享、身份联邦和集中化权限治理。它们解决的问题不同，不能只按操作方便程度挑选。
先分清五种方法的差别
1. 用角色委派临时取得权限
资源所在账号创建角色，并配置可信主体与允许操作；使用方通过受信机制切换或获取临时凭证。AWS IAM 角色与 STS AssumeRole 是典型实现。适合运维人员或自动化任务临时管理另一账号中的多种资源。优点是权限可集中撤销、无需共享长期密钥；缺点是要同时维护信任关系和角色策略。
- 在资源账号创建专用角色，不直接复用管理员角色。
- 把可信主体限定到指定账号、身份或工作负载。
- 只授予任务所需操作，并设置合理的会话时长。
- 由使用方获取临时凭证，完成操作后检查审计记录。
2. 用资源策略直接授权
在资源本身配置访问策略，允许指定账号或身份执行有限操作。Amazon S3 存储桶策略是常见例子；其他云服务是否支持资源级策略，要按具体服务核对。它适合共享单个存储桶、队列或其他明确资源。配置直观，但策略容易散落在多个资源上；涉及加密密钥等资源时，还要确认相关密钥策略是否同时允许访问。
3. 用组织或资源共享功能分配资源
当多个账号属于同一组织，需要共享网络、目录或其他受支持资源时，可优先检查云平台的组织级共享能力。AWS Resource Access Manager（RAM）可共享特定类型资源，适用范围取决于资源类型和组织配置。优点是共享关系集中、适合重复协作；局限是并非所有资源都能共享，接受方通常仍需获得相应使用权限。
4. 用身份联邦跨账号访问
身份联邦让人员或工作负载用已有身份体系获取云端访问权限，常见协议包括 SAML 和 OIDC。它适合多账号团队或跨环境自动化，能减少额外创建云端长期账号的需求。实施时应绑定明确的身份属性与目标角色，并设置登录条件、会话时限和离职撤权流程。联邦解决的是身份接入，不会自动替代资源权限配置。
5. 用集中治理和自动化管理授权
账号较多、权限变更频繁时，可通过云平台的集中身份与权限管理能力统一分配访问，再用基础设施即代码管理角色、策略和共享关系。它的优势是变更可审查、配置可复用；代价是要建立模板、审批和发布流程。跨账号资源授权管理达到一定复杂度后，集中治理有助于减少遗漏，但仍需逐项核对资源实际权限。
按场景选择，不必只用一种
| 场景 | 优先考虑 | 主要注意点 |
|---|---|---|
| 人员偶尔维护另一账号 | 角色委派或身份联邦 | 限制可信身份、操作范围和会话时间 |
| 只共享一个明确资源 | 资源策略 | 检查服务是否支持，并审查策略中的主体和操作 |
| 组织内重复共享受支持资源 | 组织级共享 | 确认资源类型、组织边界和接受方权限 |
| 账号多、需要持续审计 | 集中治理并配合自动化 | 保留审批记录，定期清理不用的授权 |
落地时先列出资源归属账号、使用方、所需操作和授权期限，再选择方法。优先遵循最小权限：例如只读检查就不授予删除权限；部署任务只访问目标环境，不默认开放全部账号。最后分别测试允许和拒绝的操作，查看审计日志，并约定负责人及撤权时间。跨账号资源授权管理既要验证“能不能访问”，也要确认不该做的操作确实被拒绝。
常见问题
跨账号授权要共享访问密钥吗？
通常不应共享长期访问密钥。优先使用角色、身份联邦或平台提供的临时凭证，并按任务限制权限。
角色委派和资源策略能同时使用吗？
可以，部分场景需要多层授权条件共同满足。应分别检查身份侧权限、资源侧策略及服务特有的策略设置。
授权后为什么仍然访问失败？
常见原因包括信任关系不匹配、策略未允许目标操作、资源策略未包含调用方，或组织边界、密钥策略等条件限制。按身份、操作、资源逐层排查。
多久复查一次授权？
没有适用于所有环境的固定周期。可结合人员变动、项目结束和权限变更触发复核；临时访问应在任务结束后及时撤销。