AWS S3访问日志存储桶未保存日志问题排查求助

一、日志未出现在target_bucket的可能遗漏配置 #

以下是你可能缺失的关键配置项：

• 给S3日志投递组添加s3:ListBucket权限：日志投递过程中，AWS需要先确认目标存储桶的前缀路径可访问，仅配置对象写入和桶ACL读取权限不够，必须给日志投递组添加桶级的s3:ListBucket权限，否则无法完成日志对象的写入流程。
• 修正前缀格式：你设置的前缀/logs/存在格式问题，S3的前缀不需要开头的斜杠，应改为logs/。开头的斜杠会导致路径识别异常，可能让日志被投递到错误位置或无法创建目标路径。
• 跨区域投递需使用ARN指定目标桶：如果source_bucket和target_bucket不在同一AWS区域，配置日志投递时目标桶必须用ARN格式（如arn:aws:s3:::target_bucket），仅填写桶名会导致投递失败。
• 检查阻止公共访问设置：确认target_bucket的“阻止存储桶公共访问”配置中，没有启用会限制跨账户访问的选项；如果启用了相关选项，需在ACL中明确放行日志投递组的所有必要权限。
• 考虑日志投递延迟：S3访问日志不是实时投递的，通常存在1-2小时的延迟，若刚完成配置，建议等待一段时间后再检查目标桶。

二、关于ACL与桶策略的权限逻辑纠正 #

你的理解错误。启用ACLs后，桶策略和ACLs会共同生效，采用权限累加的判断逻辑：只要其中一种权限机制允许某操作，该操作就会被允许（注意：明确的拒绝策略优先级高于所有允许规则）。

只有当存储桶开启了**桶所有者强制（Bucket owner enforced）**模式时，ACLs才会被完全禁用，此时仅桶策略会被用于权限校验。你当前只是启用了ACLs，并未开启桶所有者强制，所以桶策略依然会生效，权限判断会同时结合桶策略、桶ACL、对象ACL的配置。

内容的提问来源于stack exchange，提问作者Krzysztof Pagacz