AWS：如何通过 CloudFormation 更新现有的 S3 存储桶策略？

Question

我有一个现有的 S3 存储桶my-bucket 。

我正在编写一个新的 CloudFormation 模板文件，它创建一些与my-bucket交互的新 AWS 资源。 现在，我的业务用例要求我从 CloudFormation 模板文件中为my-bucket的 bucketpolicy 添加一个新的权限声明。

SourceBucketBucketPolicy:
    Type: AWS::S3::BucketPolicy
    Properties:
      Bucket: my-bucket
      PolicyDocument:
        Statement:
          - Effect: "Allow"
            Action:
              - 's3:PutBucketNotificationConfiguration'
            Resource: "arn:aws:s3:::my-bucket"
            Principal:
              AWS: !GetAtt MyLambdaExecutionRole.Arn

问题是存储桶已经具有以下存储桶策略，该策略是其他人在过去某个时候通过 AWS 控制台手动添加的。 从业务角度来看，这是一个重要的存储桶策略，所以我无法摆脱它：

{
    "Version": "2012-10-17",
    "Id": "S3-Policy",
    "Statement": [
        {
            "Sid": "DataCraft-012345678901-S3-datacraft",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::012345678901:user/datacraft"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-bucket/*"
        }
    ]
}

所以我想我唯一的选择是更新现有的存储桶策略以另外适应我的新策略声明。 问题是：如何通过 CloudFormation 模板文件做到这一点？

编辑：对于那些感兴趣的人，我最终通过编写AWS::IAM::Policy而不是AWS::S3::BucketPolicy解决了这个问题：

SourceBucketNotificationConfigurationPolicy:
    Type: AWS::IAM::Policy
    Properties:
      PolicyDocument:
        Statement:
          - Action: s3:PutBucketNotification
            Effect: Allow
            Resource: "arn:aws:s3:::my-bucket"
        Version: '2012-10-17'
      PolicyName: BucketNotificationsRolePolicy
      Roles:
        - Ref: MyLambdaExecutionRole.Arn

Answer 1

遗憾的是，您无法更新不受 CloudFormation 管理的现有策略。

您唯一能做的就是通过重新创建使用 CloudFormation替换存储桶中的策略。

此外，现有的存储桶策略无法导入CloudFormation。 原因是AWS::S3::BucketPolicy不是importing支持的资源。

编辑：基于@JeremyThompson的评论

我验证了UpdateReplacePolicy: Retain的使用。

为此，我使用了自己的存储桶和策略。 两者都是在 CloudFormation 之外使用 AWS 控制台创建的。

然后，我使用AWS::S3::BucketPolicy创建了一个 CFN 模板。 模板部署失败，有或没有UpdateReplacePolicy: Retain with error message:

The bucket policy already exists on bucket <bucket-name>.

这意味着您无法替换现有的存储桶策略。 必须在 CloudFormation 中重新创建该策略。

Answer 2

您还可以创建一个CustomResource ，在其中实现更新现有存储桶策略的逻辑。 确保实现对所有资源事件的处理：创建、更新、删除。

例如，这里是在 S3 中创建文件夹的实现： https://aws.amazon.com/premiumsupport/knowledge-center/cloudformation-s3-custom-resources/