如何避免跨账号S3复制配置中的CloudFormation循环依赖

核心思路 #

问题本质是跨账号资源的循环依赖：源桶复制配置需要目标桶存在，目标桶资源策略需要源复制角色存在。解决关键是打破其中一端的创建时强验证，让资源可以独立部署，后续自动生效。

方案一：通过条件化资源策略绕过角色存在验证 #

这是最直接的方法，无需额外资源：

1. 目标桶栈（Stack2）配置：

   • 创建目标桶时，资源策略不直接指定源复制角色ARN，而是通过Condition条件限制源账号和角色名称，避免CloudFormation创建时验证角色是否存在。
   • 示例策略片段：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": "*",
           "Action": [
             "s3:GetBucketVersioning",
             "s3:PutBucketVersioning",
             "s3:ReplicateObject",
             "s3:ReplicateDelete",
             "s3:ReplicateTags"
           ],
           "Resource": [
             "arn:aws:s3:::TARGET_BUCKET_NAME/*",
             "arn:aws:s3:::TARGET_BUCKET_NAME"
           ],
           "Condition": {
             "StringEquals": {
               "aws:PrincipalAccount": "SOURCE_ACCOUNT_ID",
               "aws:PrincipalArn": "arn:aws:iam::SOURCE_ACCOUNT_ID:role/REPLICATION_ROLE_NAME"
             }
           }
         }
       ]
     }
     

   • 将目标桶ARN通过Export输出，并设置AccountIds允许源账号导入：

     Outputs:
       TargetBucketArn:
         Value: !GetAtt TargetBucket.Arn
         Export:
           Name: !Sub "TARGET_BUCKET_ARN"
           AccountIds:
             - "SOURCE_ACCOUNT_ID"
     

2. 源桶栈（Stack1）配置：

   • 通过ImportValue跨账号导入目标桶ARN：

     TargetBucketArn: !ImportValue "TARGET_BUCKET_ARN"
     

   • 创建复制角色（带必要的S3复制权限），并配置源桶的复制规则，直接引用导入的目标桶ARN。

3. 部署顺序：
   先部署Stack2（目标账号），再部署Stack1（源账号）。两个栈各部署一次即可：

   • Stack2部署时，策略的条件仅做字符串匹配，无需验证源角色存在；
   • Stack1部署时，目标桶已存在，复制配置验证通过；
   • 复制角色创建完成后，目标桶的条件策略自动生效，复制流程正常运行。

方案二：使用自定义资源延迟策略配置 #

如果必须使用精确的角色ARN作为Principal，可以用CloudFormation自定义资源（Lambda驱动）来延迟目标桶策略的配置：

1. 目标桶栈（Stack2）：

   • 创建目标桶，但暂不添加依赖源角色的策略；
   • 部署一个Lambda自定义资源，该资源会轮询源账号的IAM角色是否存在（通过AWS SDK跨账号调用GetRole，需目标账号有访问源账号IAM的权限）；
   • 一旦检测到角色存在，自动更新目标桶的资源策略，添加该角色ARN作为Principal。

2. 源桶栈（Stack1）：

   • 正常创建源桶、复制角色和复制配置（引用目标桶ARN，可通过提前约定的名称或跨账号Export导入）。

3. 部署：
   同时或按任意顺序部署两个栈，自定义资源会自动完成策略的后续配置，无需手动更新。

关键注意事项 #

• 跨账号Export/Import需要确保两个账号的CloudFormation权限配置正确，源账号有导入目标账号Export的权限；
• 复制角色需要具备源桶的读取权限和目标桶的写入权限；
• 目标桶和源桶都需开启版本控制，这是S3跨账号复制的前提。

内容的提问来源于stack exchange，提问作者Kamil Janowski