开启ALB日志到S3桶时遭遇Access Denied错误求助

即使以root用户操作且给S3桶配置了root全权限，仍出现Access Denied的核心原因是：ALB的日志由AWS Elastic Load Balancing服务账户自动写入，而非你的root用户，因此仅授权root权限无法满足要求。以下是具体排查和解决步骤：

• 确认区域匹配
  ALB的访问日志必须存储在同一AWS区域的S3桶中。如果ALB和S3桶跨区域部署，会直接触发权限错误，请确保两者区域一致。

• 配置正确的S3桶策略
  需在S3桶的桶策略中明确授权ELB服务账户的写入权限，示例策略如下（替换占位符为你的实际信息）：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "elasticloadbalancing.amazonaws.com"
        },
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::your-bucket-name/*",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "123456789012"
          },
          "ArnLike": {
            "aws:SourceArn": "arn:aws:elasticloadbalancing:us-east-1:123456789012:loadbalancer/app/your-alb-name/*"
          }
        }
      }
    ]
  }
  

  其中：

  • your-bucket-name 是你的S3桶名称
  • 123456789012 是你的AWS账户ID
  • us-east-1 是ALB所在区域
  • your-alb-name 是你的ALB名称
    该策略仅允许指定ALB的服务账户向桶内写入日志，同时通过SourceAccount和SourceArn保证权限的安全性。

• 检查S3桶的公有访问设置
  若桶开启了阻止所有公有访问，无需修改该设置——AWS内部服务（如ELB）访问S3桶不属于公有访问范畴，不会受此限制。但需确保没有额外的桶策略或IAM策略拒绝ELB的访问请求。

• 验证桶ACL配置
  检查S3桶的访问控制列表（ACL），确保没有添加拒绝PutObject操作的规则。通常无需额外修改ACL，只要桶策略正确即可，但如果存在拒绝规则，需删除或调整。

• 排查账户级IAM策略
  虽然root用户默认不受IAM策略限制，但如果你的AWS账户存在**服务控制策略（SCP）**或账户级拒绝策略，可能会阻止ELB服务访问S3桶。可在AWS Organizations或IAM控制台检查相关策略是否存在限制。

内容的提问来源于stack exchange，提问作者jjones150