疑问：s3 PutBucketLogging动作如何实现多账户ELB日志集中存储？

首先要明确：原方案中提到的s3:PutBucketLogging动作完全不涉及ELB日志的存储，这个动作的作用是配置s3-elb-logs桶自身的访问日志规则（比如把这个桶的访问记录存到另一个S3桶），和让业务账户的ELB把日志写入这个桶是两个完全独立的操作。原方案的描述存在明显误区。

正确实现ELB日志集中存储的步骤 #

要完成多账户ELB日志到中央S3桶的整合，需要做两件核心配置：

1. 配置中央S3桶的桶策略，授权业务账户的ELB服务写入权限 #

修改s3-elb-logs桶的桶策略，允许AppDev、AppTest、AppProd这三个账户的ELB服务主体向桶内写入对象。典型的桶策略示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "elasticloadbalancing.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::s3-elb-logs/*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": [
            "AppDev账户ID",
            "AppTest账户ID",
            "AppProd账户ID"
          ],
          "aws:SourceArn": [
            "AppDev账户ELB的ARN",
            "AppTest账户ELB的ARN",
            "AppProd账户ELB的ARN"
          ]
        }
      }
    }
  ]
}

• Principal指定ELB服务主体，确保只有ELB服务能执行写入
• Condition里的aws:SourceAccount和aws:SourceArn用来限定只有指定业务账户的指定ELB才能写入，避免权限过度开放

2. 在每个业务账户中配置ELB的日志输出规则 #

分别登录AppDev、AppTest、AppProd账户，找到对应的ELB实例，开启日志功能并指定：

• 目标存储桶：中央账户的s3-elb-logs桶（格式为arn:aws:s3:::s3-elb-logs）
• 日志前缀：建议为每个环境设置独立前缀（比如dev/、test/、prod/），方便后续区分不同账户的日志

为什么原方案的逻辑不成立 #

s3:PutBucketLogging的权限仅允许中央账户修改s3-elb-logs桶自身的日志配置，比如设置把这个桶的访问日志存到其他位置，它既不能授权外部服务写入，也无法触发ELB日志的传输，完全不符合需求场景。

内容的提问来源于stack exchange，提问作者meallhour