AWS配置可以在启用对象锁定的情况下写入S3 bucket吗？

Question

我已经设置了AWS Config[1]，以便将配置项传递到S3 bucket。当S3 bucket没有启用对象锁定[2]时，一切工作都很好。但是，当bucket确实启用了对象锁定时，AWS配置无法创建其传递通道，并出现以下错误消息

错误：创建传递通道失败：不充分DeliveryPolicyException：到s3 bucket的传递策略不足:oss-devex-tf-module-aws-config-managed-bucket，无法写入bucket，前提是s3密钥前缀为'config-test'。

我已经搜索了这个异常，它通常与权限有关。在排除故障时，我为AWS配置分配了一个角色，该角色对S3 bucket具有完全权限（即对bucket和对象都具有S3:*，这比文档[3]中描述的要多），我没有在bucket上设置KMS Customer主密钥，甚至为了测试它而禁用了静止状态下的加密。

由于审计和遵从性需求，我想使用对象锁定，但在AWS配置文档中找不到任何对它的引用。

编辑：我已经编写了一个terraform模块[4]来设置AWS配置。该模块中有几个示例运行良好，但仅当S3 bucket上没有启用对象锁定时。

[1]-https://docs.aws.amazon.com/config/latest/developerguide/whatisconfig.html

[2]-https://docs.aws.amazon.com/amazons3/latest/dev/object-lock.html

[3]-https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-policy.html

[4]-https://gitlab.com/open-source-devex/terraform-modules/aws/config-managed-rules

Answer 1

为了再现你的情况，我做了以下几点：

• 创建了一个Amazon S3 bucket，并激活了版本控制和对象锁定
• 修改了已使用AWS配置的现有IAM角色，以包括新的bucket
• 修改了AWS配置以写入新bucket（因为我已经用另一个bucket运行了配置）

然后我看到Config在bucket中创建了一个ConfigWritabilityCheckFile对象。

AWSLogs/123456789012/Config/ap-southeast-2/2019/9/17/ConfigSnapshot/123456789012_Config_ap-southeast-2_ConfigSnapshot_20190917T224217Z_ea973cd9-25ff-4cbe-97ca-84ef150a1981.json.gz

null

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject*"
            ],
            "Resource": [
                "arn:aws:s3:::stack-lock/AWSLogs/123456789012/*"
            ],
            "Condition": {
                "StringLike": {
                    "s3:x-amz-acl": "bucket-owner-full-control"
                }
            }
        }
    ]
}

• 另外，它对许多服务都有一个“只读”策略（同样，我不知道为什么要这样做！）