尝试使用AWS-cdk向s3日志交付组授予完全权限

Question

我目前正在使用AWS-cdk创建一个中央日志存储桶，所有现有的s3存储桶都将登录到该存储桶。当我手动给s3LogDeliveryGroup列表对象、写对象、读桶权限和写桶权限时，一切都在工作。然而，我正在使用AWS-cdk，需要以编程方式执行此操作，以便我可以将其部署到任何帐户。这是我的代码：

const s3PublicAccessLambda = new lambda.Function(this, 's3PublicAccessLambda',{
        runtime: lambda.Runtime.PYTHON_3_6,
        handler: 's3PublicAccess.handler',
        role:s3LoggingLambdaRole,
        code: lambda.Code.fromAsset(path.join(__dirname, '../lambda')),
        timeout: cdk.Duration.seconds(300) 

      });

      const centralLoggingBucket = new s3.Bucket(this, 'centralLoggingBucket', {
        accessControl:s3.BucketAccessControl.BUCKET_OWNER_FULL_CONTROL

      });
      centralLoggingBucket.grantReadWrite(s3LoggingLambdaRole);
  
      }
    }

运行此代码时不会发生错误，但是除非我手动授予权限，否则存储桶不会记录。我知道我需要在我指定“accessControl”参数的附近指定它，我只是不知道确切的位置。非常感谢。

Answer 1

如果您正在寻找一种方法，为lambda函数假定的角色提供S3 bucket访问策略s3LoggingLambdaRole，您可以尝试附加一个内联策略，如下所示：

s3LoggingLambdaRole.attachInlinePolicy(
    new Policy(this, 'yourPolicy', {
        policyName: 'yourPolicyName',
            statements: [
                new PolicyStatement({
                    actions: ['s3:ListObjects', 's3:WriteObjects'],
                    resources: [`arn:aws:s3:::`, `arn:aws:s3:::*`, 'arn:aws:s3:::*/*'],
                }),
            ],
        }),
    );

另外，请记住，如果您提供了自己的自定义IAM角色，则不会自动授予其执行lambda的权限，因此您可能还必须添加以下托管策略。

s3LoggingLambdaRole.addManagedPolicy(ManagedPolicy.fromAwsManagedPolicyName("service-role/AWSLambdaBasicExecutionRole"));
s3LoggingLambdaRole.addManagedPolicy(ManagedPolicy.fromAwsManagedPolicyName("service-role/AWSLambdaVPCAccessExecutionRole")); // only required if your function lives in a VPC