移除AWS SAM/CloudFormation中S3 Bucket的AccessControl:Private属性后部署失败求助

问题背景 #

用AWS SAM/CloudFormation创建的旧S3桶，原本使用已废弃的AccessControl: Private属性，保留该属性会收到W3045警告；移除后部署时触发"The bucket does not allow ACLs"的400错误。桶默认开启Block all public access且ACL管理关闭，目标是移除废弃属性并成功部署，不添加额外配置。

解决方案 #

1. 确认桶的私有权限状态 #

先通过CLI验证桶确实处于私有状态（即使ACL禁用，默认权限就是私有）：

aws s3api get-bucket-policy-status --bucket <你的桶名称>

返回结果中PolicyStatus.IsPublic应为false，确认桶权限符合预期。

2. 修改SAM/CFN模板 #

移除AccessControl: Private属性，同时给S3桶资源添加UpdateReplacePolicy: Retain，阻止CloudFormation在更新时尝试修改桶的ACL配置：

Resources:
  YourOldBucket:
    Type: AWS::S3::Bucket
    UpdateReplacePolicy: Retain
    Properties:
      # 保留你原本的其他配置（如BucketName、BucketEncryption等）
      # 不要添加PublicAccessBlockConfiguration或额外BucketPolicy

3. 重新部署 #

执行SAM部署命令：

sam deploy --stack-name <你的堆栈名称> --config-file samconfig.toml

原理说明 #

移除AccessControl后，CloudFormation默认会尝试重置桶的ACL，但桶已开启ACL禁用，因此触发报错。UpdateReplacePolicy: Retain会告诉CloudFormation保留桶的现有配置（包括ACL禁用状态），不执行任何ACL相关修改操作。而桶默认的私有权限完全满足需求，无需额外配置。

内容的提问来源于stack exchange，提问作者hazmat