部署阶段自动化创建S3存储桶并实现EC2实例获取S3配置文件的问题咨询

这问题我之前帮人排查过好几次，核心是分栈部署时的资源依赖传递和权限配置没做好，咱们一步步来搞定，实现全自动化流程：

1. 让S3栈输出关键资源信息 #

首先，在你的S3栈模板里，必须把桶名、桶ARN这些核心信息导出，这样EC2栈才能准确找到目标桶。以CloudFormation为例，在模板末尾添加Outputs配置：

Outputs:
  AssetBucketName:
    Value: !Ref AssetBucket
    Export:
      Name: "AssetBucketName"  # 导出名称要唯一，方便EC2栈引用
  AssetBucketARN:
    Value: !GetAtt AssetBucket.Arn
    Export:
      Name: "AssetBucketARN"

如果你的S3栈包含文件上传逻辑（比如AWS::S3::BucketDeployment），要确保这个上传资源依赖于S3桶，CloudFormation会自动按顺序创建，等文件上传完成后才会输出桶信息。

2. 在EC2栈中引用S3栈的导出值 #

EC2栈需要通过导入S3栈的输出来获取桶名，然后在UserData里用这个变量拼接S3文件路径。比如：

# 先导入S3栈的输出值
Parameters:
  AssetBucketName:
    Type: String
    Value: !ImportValue AssetBucketName
  AssetBucketARN:
    Type: String
    Value: !ImportValue AssetBucketARN

# 然后在UserData中使用
UserData:
  Fn::Base64: !Sub |
    #!/bin/bash
    # 用导入的桶名拼接文件路径，下载到EC2本地
    aws s3 cp s3://${AssetBucketName}/path/to/your/config-file /opt/your-app/

3. 给EC2实例配置访问S3的权限 #

这是最容易踩的坑！EC2实例默认没有访问S3的权限，必须给它绑定一个IAM角色，授予读取目标S3桶的权限：

Resources:
  # 创建IAM角色，允许EC2服务扮演该角色
  EC2InstanceRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      # 附加S3访问策略，仅允许读取目标桶内的文件
      Policies:
        - PolicyName: S3AssetAccessPolicy
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action: s3:GetObject
                Resource: !Sub "${AssetBucketARN}/*"

  # 创建实例配置文件，把角色关联到EC2实例
  EC2InstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Roles:
        - !Ref EC2InstanceRole

  # 给EC2实例关联配置文件
  YourEC2Instance:
    Type: AWS::EC2::Instance
    Properties:
      IamInstanceProfile: !Ref EC2InstanceProfile
      # 其他实例配置（镜像、实例类型等）
      UserData: !Sub |
        #!/bin/bash
        aws s3 cp s3://${AssetBucketName}/your-required-file /etc/your-app/

4. 实现全自动化部署流程 #

要避免手动创建桶，就得严格控制两个栈的部署顺序，下面两种方式任选：

方式一：用AWS CLI脚本自动化 #

写一个简单的bash脚本，先部署S3栈，等它完全创建成功后再部署EC2栈：

#!/bin/bash

# 部署S3栈
aws cloudformation deploy \
  --stack-name AssetBucketStack \
  --template-file ./s3-stack.yml \
  --region your-target-region

# 等待S3栈部署完成（仅成功才继续）
aws cloudformation wait stack-create-complete \
  --stack-name AssetBucketStack \
  --region your-target-region

# 部署EC2栈
aws cloudformation deploy \
  --stack-name EC2DeploymentStack \
  --template-file ./ec2-stack.yml \
  --region your-target-region

执行这个脚本就能一键完成全流程。

方式二：用基础设施工具（CDK/Terraform）管理依赖 #

如果用AWS CDK，你可以在代码中明确两个栈的依赖关系，CDK会自动按顺序部署：

import { Stack, App } from 'aws-cdk-lib';
import { AssetBucketStack } from './s3-stack';
import { EC2DeploymentStack } from './ec2-stack';

const app = new App();
const s3Stack = new AssetBucketStack(app, 'AssetBucketStack');
const ec2Stack = new EC2DeploymentStack(app, 'EC2DeploymentStack', {
  assetBucketName: s3Stack.assetBucketName,
  assetBucketArn: s3Stack.assetBucketArn
});

// 明确EC2栈依赖S3栈，确保先部署S3
ec2Stack.addDependency(s3Stack);

app.synth();

Terraform则可以通过output和terraform_remote_state传递资源信息，同样能自动处理部署顺序。

5. 排查小技巧 #

如果还是遇到问题，登录EC2实例查看cloud-init日志，能快速定位问题：

cat /var/log/cloud-init-output.log

日志会告诉你是权限不足、路径错误还是桶不存在，针对性解决就行。

内容的提问来源于stack exchange，提问作者Fabrício Lélis