我可以自动强制执行 S3 服务器访问日志记录的最佳方式是什么？

Question

我在 CloudTrail 事件“CreateBucket”上有一个事件规则，我正在使用以下 Lambda：

import boto3
import time
import logging
s3client = boto3.client('s3')
s3 = boto3.resource('s3')
ssmclient = boto3.client('ssm')
stsclient = boto3.client('sts')
from botocore.exceptions import ClientError
logger = logging.getLogger()
logger.setLevel(logging.INFO)

def lambda_handler(event, context):
        logger.info(event)
        account_id = stsclient.get_caller_identity()["Account"]
        serveraccessloggingbucket = "acct-"+account_id+"-serveraccesslogging1"
        bucketName = event['detail']['requestParameters']['bucketName']
        getbucketLogging = s3client.get_bucket_logging(Bucket= bucketName)
          try:
            applybucketlogging = s3client.put_bucket_logging(Bucket= bucketName, BucketLoggingStatus={'LoggingEnabled': {'TargetBucket': serveraccessloggingbucket,'TargetPrefix': bucketName}},)
            logger.info("Applying Logging To S3 Bucket")
        except ClientError as e:
            statuscode = getbucketLogging['ResponseMetadata']['HTTPStatusCode']
            if statuscode == 200:
                print("Target Bucket Logging is Not Found")
                applybucketlogging = s3client.put_bucket_logging(Bucket= bucketName, BucketLoggingStatus={'LoggingEnabled': {'TargetBucket': serveraccessloggingbucket,'TargetPrefix': bucketName}},)
            else:
                exit()
        except Exception as e:
            logger.info(str(e))

但是，它不起作用。 这也许是合乎逻辑的，因为 CreateBucket 事件在 function 可以被调用时已经发生......有什么想法吗？ 目标是自动确保每个 S3 存储桶始终启用服务器访问日志记录，即使用户在创建存储桶期间忘记设置它也是如此。

Answer 1

如果其他人有同样的问题，通过自动化强制执行服务器访问日志记录的最佳方法是结合配置规则/补救和 AWS SSM 文档（自动化）。 我最终在 CloudFormation 模板中自动执行此操作，创建所需的角色、策略、配置规则等，并参考 Amazon 的 SSM 自动化来对未启用服务器访问日志记录的任何存储桶强制执行修复。