CloudFormation创建S3桶报错：无法验证目标配置，请求协助解决

这个S3桶创建时的400错误，核心是S3无法验证通知目标（你的Lambda函数）的配置权限，常见原因和解决步骤如下：

核心问题：Lambda资源策略缺失 #

你提到给Lambda和IAM用户加了桶权限，但这不是关键——S3要触发Lambda，需要给Lambda配置资源策略，允许你的S3桶调用它，而不是给Lambda的执行角色加S3权限。

具体解决步骤 #

1. 添加Lambda权限资源
   在你的CloudFormation模板中，新增一个AWS::Lambda::Permission资源，明确允许S3桶触发这个Lambda：

LambdaInvokePermission:
  Type: AWS::Lambda::Permission
  Properties:
    FunctionName: !GetAtt LambdaFunctionArchiveParamSession.Arn
    Action: lambda:InvokeFunction
    Principal: s3.amazonaws.com
    SourceArn: !GetAtt ParamArchiveBucket.Arn
    SourceAccount: !Ref AWS::AccountId

这个资源会自动给Lambda添加资源策略，允许指定的S3桶调用它。

2. 确保资源创建顺序
   默认情况下CloudFormation会自动处理依赖，但可以显式给S3桶添加DependsOn，确保Lambda权限先创建完成：

ParamArchiveBucket:
  Type: AWS::S3::Bucket
  Description: "S3 Bucket to store Param archive videos"
  DependsOn: LambdaInvokePermission
  Properties:
    BucketName: !Sub ${ParamBucketName}-${Environment}
    NotificationConfiguration:
      LambdaConfigurations:
        - Event: "s3:ObjectCreated:*"
          Filter:
            S3Key:
              Rules:
                - Name: "prefix"
                  Value: !Sub ${paramKey}
          Function: !GetAtt LambdaFunctionArchiveParamSession.Arn

3. 检查参数替换有效性
   确认${paramKey}参数有合法值，不能是空字符串，prefix规则的Value要符合S3的键名规范（不能有特殊字符比如空格、换行等）。

4. 验证桶名合规性
   确保!Sub ${ParamBucketName}-${Environment}生成的桶名是全局唯一的，符合S3命名规则：小写字母、数字、连字符，不能有下划线或大写字母，长度在3-63字符之间。

补充说明 #

如果之前手动给Lambda加过权限，可能存在冲突，建议通过CloudFormation统一管理权限，避免手动配置和模板配置不一致导致的问题。

内容的提问来源于stack exchange，提问作者Mananpreet Kaur