Amazon AppConfig通过CodePipeline部署失败：权限不足问题排查求助

看起来你踩了AppConfig和CodePipeline集成时的一个常见权限坑——搞混了谁需要访问S3桶的权限！从你的报错和已做的操作来看，核心问题是Amazon AppConfig服务本身没有权限读取CodePipeline的S3工件存储桶，下面给你梳理遗漏的配置步骤：

问题根源 #

当CodePipeline触发AppConfig部署时，是AppConfig服务主动去S3拉取配置工件，而不是CodePipeline把内容推给AppConfig。你之前检查CodePipeline的IAM角色权限、给S3桶加root权限的方向都偏了，因为AppConfig是通过它的服务关联角色来获取权限的，这就是你找不到给AppConfig附加角色入口的原因。

具体解决步骤 #

1. 给AppConfig的服务关联角色加S3读取权限 #

AppConfig有一个默认的服务关联角色AWSServiceRoleForAppConfig，你需要给这个角色添加读取目标S3桶的权限：

• 打开IAM控制台，进入「角色」页面，搜索AWSServiceRoleForAppConfig
• 点击「添加权限」→「创建内联策略」，粘贴以下JSON内容（替换桶资源为你的实际ARN）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::codepipeline-eu-west-1-634809616452/*"
        }
    ]
}

• 保存策略，给它起个好记的名字比如AppConfig-S3-Read-Access

2. 修正S3桶策略的访问主体 #

你之前给S3桶加的策略里，允许的是root用户访问，但AppConfig用的是它的服务关联角色，所以需要更新桶策略，把AppConfig的服务角色加入允许列表：
更新后的桶策略示例如下（替换账号ID为你的实际账号ID）：

{
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
    {
      "Sid": "AllowAppConfigAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::634809616452:role/aws-service-role/appconfig.amazonaws.com/AWSServiceRoleForAppConfig"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::codepipeline-eu-west-1-634809616452/*"
    },
    // 保留你原来的admin权限也没问题
    {
      "Sid": "admin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::044559349107:root"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::codepipeline-eu-west-1-634809616452/*"
    }
  ]
}

3. 快速验证工件路径 #

最后再确认下CodePipeline里调用AppConfig的动作配置：

• 检查应用、环境、配置文件的ID是否和报错里的j3wn7j2、2df8rwe、abcata7一致
• 确认S3桶里的对象键qwrqwrqwr/BuildArtif/TVsQbS0确实存在，避免是路径配置错误导致的“假权限问题”

为什么之前的操作没生效？ #

• 你检查的CodePipeline角色：CodePipeline只负责把工件传到S3、触发AppConfig部署，它不需要读取自己的工件桶，所以这部分权限不影响AppConfig拉取内容
• 找不到AppConfig附加角色的入口：AppConfig不支持直接给资源加角色，而是通过IAM中的服务关联角色来获取所需权限，这是很多AWS托管服务的通用逻辑

完成上面的配置后，重新触发一次CodePipeline部署，应该就能解决这个权限不足的问题了。

内容的提问来源于stack exchange，提问作者Hussein Hroub