如何为所有S3存储桶全局附加IAM策略以禁用不安全HTTP访问

问题描述 #

作为安全检查的一部分，我们需要阻止通过不安全的HTTP访问S3存储桶。目前我们不得不逐个为每个存储桶附加策略，请问是否可以仅在全局层面一次性附加该策略？

用户当前使用的单个存储桶策略（Terraform）：

data "aws_iam_policy_document" "www_bucket_policy" {

    statement {
      principals {
        type        = "AWS"
        identifiers = ["*"]
      }
      resources = [
        aws_s3_bucket.static_ui.arn,
            "${aws_s3_bucket.static_ui.arn}/*"
      ]
      effect = "Deny"
      actions = [
        "s3:*"
      ]
      condition {
        test = "Bool"
        variable = "aws:SecureTransport"
        values = [
          "false"
        ]
      }
    }
 }

答案 #

无法直接通过全局S3策略或IAM全局策略一次性为所有存储桶强制启用HTTPS，但可以通过以下几种方案实现全局层面的管控：

1. 使用AWS组织服务控制策略（SCP） #

如果你的AWS账号属于AWS组织，可在组织根节点或指定组织单元（OU）上应用SCP，拒绝所有未通过HTTPS的S3请求，实现全局强制。示例SCP内容如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "s3:*",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "aws:SecureTransport": "false"
        }
      }
    }
  ]
}

注意：SCP仅限制账号内的身份（包括根用户）对资源的访问，不会影响S3的公有访问（如果桶配置了公有读写），需结合桶的公有访问阻止规则一起使用。

2. Terraform批量生成存储桶策略 #

如果用Terraform管理所有S3桶，可以通过遍历桶资源批量附加HTTPS强制策略。示例修改如下：

# 假设你用for_each定义了多个S3桶
resource "aws_s3_bucket" "all_buckets" {
  for_each = toset(["bucket-1", "bucket-2", "bucket-3"])
  bucket = each.value
}

# 为每个桶生成HTTPS强制策略
data "aws_iam_policy_document" "bucket_https_policy" {
  for_each = aws_s3_bucket.all_buckets

  statement {
    principals {
      type        = "AWS"
      identifiers = ["*"]
    }
    resources = [
      each.value.arn,
      "${each.value.arn}/*"
    ]
    effect = "Deny"
    actions = ["s3:*"]
    condition {
      test = "Bool"
      variable = "aws:SecureTransport"
      values = ["false"]
    }
  }
}

# 为每个桶附加策略
resource "aws_s3_bucket_policy" "enforce_https" {
  for_each = aws_s3_bucket.all_buckets
  bucket = each.value.id
  policy = data.aws_iam_policy_document.bucket_https_policy[each.key].json
}

3. AWS Config自动合规管控 #

创建AWS Config托管规则（如s3-bucket-ssl-requests-only）检测未启用HTTPS强制的存储桶，再配合自动修复动作（通过Lambda函数自动附加HTTPS策略），实现全局范围内的自动合规。

关键说明 #

S3存储桶策略是资源级策略，必须绑定到具体的存储桶上，没有全局直接附加的机制。上述方案中，SCP是最接近“全局一次性配置”的方式，但依赖AWS组织；Terraform批量处理适合基础设施即代码的场景；AWS Config适合自动化合规检查与修复。

内容的提问来源于stack exchange，提问作者Farhad-Taran