AWS CloudFormation多区域StackSet部署：S3桶策略NotIpAddress条件多If语句失效问题求助

我来帮你搞定这个问题！你遇到的核心问题是在aws:SourceIp数组中使用多个!If语句时，CloudFormation不会自动过滤掉返回!Ref "AWS::NoValue"的无效条目，导致整个Condition逻辑无法正常生效。下面给你两种可行的解决方案：

方案一：为每个区域单独定义Policy Statement（推荐） #

这种方法的思路是为每个目标区域创建独立的Bucket Policy Statement，然后通过!If结合你已经定义好的区域条件，控制当前区域只加载对应的IP白名单规则。其他区域的Statement会因为返回AWS::NoValue被自动忽略。

示例配置如下：

Resources:
  MyBucket:
    Type: AWS::S3::Bucket
    # 你的桶基础配置...

  MyBucketPolicy:
    Type: AWS::S3::BucketPolicy
    Properties:
      Bucket: !Ref MyBucket
      PolicyDocument:
        Version: "2012-10-17"
        Statement:
          # us-east-1区域规则
          - !If
              - IsUSEast1
              - Effect: Deny
                Action: "s3:*"
                Resource: !Sub "${MyBucket.Arn}/*"
                Principal: "*"
                Condition:
                  NotIpAddress:
                    aws:SourceIp: !Ref S3IPAddressUSEast1ToWhitelist
              - !Ref "AWS::NoValue"
          # us-east-2区域规则
          - !If
              - IsUSEast2
              - Effect: Deny
                Action: "s3:*"
                Resource: !Sub "${MyBucket.Arn}/*"
                Principal: "*"
                Condition:
                  NotIpAddress:
                    aws:SourceIp: !Ref S3IPAddressUSEast2ToWhitelist
              - !Ref "AWS::NoValue"
          # 继续添加其他区域的规则...
          - !If
              - IsEUWest1
              - Effect: Deny
                Action: "s3:*"
                Resource: !Sub "${MyBucket.Arn}/*"
                Principal: "*"
                Condition:
                  NotIpAddress:
                    aws:SourceIp: !Ref S3IPAddressEUWest1ToWhitelist
              - !Ref "AWS::NoValue"

这种方式逻辑清晰，每个区域的规则相互独立，CloudFormation会自动处理AWS::NoValue，只保留当前区域对应的Statement。

方案二：使用嵌套!If选择对应区域的IP列表 #

如果你的每个IP参数是单个IP或者逗号分隔的字符串列表，可以通过嵌套!If直接返回当前区域对应的IP值，再通过!Split转换成数组（如果是逗号分隔的话）。

示例配置：

Condition:
  NotIpAddress:
    aws:SourceIp:
      !Split
        - ","
        - !If
            - IsUSEast1
            - !Ref S3IPAddressUSEast1ToWhitelist
            - !If
                - IsUSEast2
                - !Ref S3IPAddressUSEast2ToWhitelist
                - !If
                    - IsUSWest1
                    - !Ref S3IPAddressUSWest1ToWhitelist
                    # 继续嵌套其他区域...
                    - !Ref S3IPAddressEUWest1ToWhitelist

注意：这个方案要求你的IP参数是字符串类型（单个IP或逗号分隔的多个IP），如果参数是数组类型的话，这个方法不适用，因为!If无法直接返回数组类型的参数并进行Split操作。

为什么原方案不生效？ #

你原来的写法中，aws:SourceIp数组里的每个!If会返回要么是IP值，要么是AWS::NoValue。但CloudFormation不会自动过滤数组中的AWS::NoValue条目，这会导致数组中存在无效的空元素，最终让整个NotIpAddress条件无法正确匹配。

内容的提问来源于stack exchange，提问作者svw1105