使用AWS cdk和AWS lambda时日志传递权限不足

Question

我试图创建一个集中的日志存储桶，然后使用lambda和AWS-cdk记录所有其他s3存储桶。已创建了集中式日志存储桶，但在使用lambda对其进行写入时出错。这是我的代码：导入boto3

S3=boto3.resource（'s3'）

def handler(event, context):
    setBucketPolicy(target_bucket='s3baselinestack-targetloggingbucketbab31bd5-b6y2hkvqz0of')

def setBucketPolicy(target_bucket):
    for bucket in s3.buckets.all():
        bucket_logging = s3.BucketLogging(bucket.name)
        if not bucket_logging.logging_enabled:
            reponse = bucket_logging.put(
                BucketLoggingStatus={
                    'LoggingEnabled': {
                        'TargetBucket': target_bucket,
                        'TargetPrefix': f'{bucket.name}/'
                    }
                },
            )
    print(reponse)



Here is my error:
START RequestId: 320e83c0-ba5e-4d54-a78c-a462d6e0cb87 Version: $LATEST
An error occurred (InvalidTargetBucketForLogging) when calling the PutBucketLogging operation: You must give the log-delivery group WRITE and READ_ACP permissions to the target bucket: ClientError
Traceback (most recent call last):

注意：除了这个日志传递权限之外，一切都可以正常工作，因为当我通过aws控制台启用它时，它可以正常工作，但是，我需要以编程方式执行它！先谢谢你。

Answer 1

根据S3日志记录的留档，您必须在目标日志桶上授予Log Delivery组WRITE和READ_ACP权限，这是使用S3 ACL完成的。

https://docs.aws.amazon.com/AmazonS3/latest/dev/enable-logging-programming.html#grant-日志传递权限常规

使用CDK创建新存储桶时，使用访问控制属性进行设置。默认值为BucketAccessControl。PRIVATE.

new s3.Bucket(this, 'bucket', {
  accessControl: s3.BucketAccessControl.LOG_DELIVERY_WRITE
})

由于CloudFormation无法将ACL添加到现有bucket中，这意味着CDK也没有这样的方法。对于现有bucket，通过web控制台、API或CLI使用aws s3api put bucket acl添加日志传递。

其他服务，如CloudFront，不再使用ACL，而是使用IAM策略，可以使用bucket添加这些策略。addToResourcePolicy（）。

https://docs.aws.amazon.com/cdk/api/latest/docs/@aws-cdk_aws-s3。伊布克特。html#将wbr添加到wbr资源wbr策略权限