如何优化基于Terraform的AWS S3静态网站部署方案？

Terraform层面可补充的配置 #

1. 用Bucket Policy替代ACL（更安全灵活） #

AWS目前推荐使用Bucket Policy而非ACL进行权限控制，后者粒度较粗，Policy可实现更精准的权限规则（比如IP限制、特定用户访问）。示例配置：

resource "aws_s3_bucket_policy" "bucket_policy" {
  bucket = aws_s3_bucket.bucket.id
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect    = "Allow"
        Principal = "*"
        Action    = "s3:GetObject"
        Resource  = "${aws_s3_bucket.bucket.arn}/*"
      }
    ]
  })
}

同时移除原acl = "public-read"配置，避免权限冲突。

2. 启用版本控制 #

防止文件误删或覆盖，便于回溯历史版本：

resource "aws_s3_bucket_versioning" "bucket_versioning" {
  bucket = aws_s3_bucket.bucket.id
  versioning_configuration {
    status = "Enabled"
  }
}

3. 配置自定义404错误页面 #

完善网站用户体验，当访问不存在的路径时返回自定义错误页：

website {
  index_document {
    suffix = "index.html"
  }
  error_document {
    key = "404.html"
  }
}

4. 启用服务器端加密（SSE） #

增强存储数据的安全性，可选择S3托管密钥（AES256）或AWS KMS密钥：

resource "aws_s3_bucket_server_side_encryption_configuration" "bucket_sse" {
  bucket = aws_s3_bucket.bucket.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm = "AES256"
    }
  }
}

5. 配置访问日志记录 #

将网站访问日志存储到独立的S3桶，便于后续分析和审计：

# 先创建日志存储桶
resource "aws_s3_bucket" "access_logs" {
  bucket = "mybucket-access-logs"
  acl    = "log-delivery-write"
}

# 配置主桶的日志输出
resource "aws_s3_bucket_logging" "bucket_logging" {
  bucket        = aws_s3_bucket.bucket.id
  target_bucket = aws_s3_bucket.access_logs.id
  target_prefix = "logs/"
}

6. 配置公开访问块（按需调整） #

如果网站需要完全公开访问，需禁用相关公开访问限制，避免Bucket Policy失效：

resource "aws_s3_bucket_public_access_block" "bucket_public_access" {
  bucket = aws_s3_bucket.bucket.id

  block_public_acls       = false
  block_public_policy     = false
  ignore_public_acls      = false
  restrict_public_buckets = false
}

7. 添加资源标签 #

便于资源管理、成本追踪和分类：

resource "aws_s3_bucket" "bucket" {
  bucket = "mybucket"
  # ...其他已有配置
  tags = {
    Environment = "Production"
    Project     = "StaticWebsite"
    Owner       = "DevTeam"
  }
}

初始部署脚本优化 #

1. 用Terraform资源替代local-exec（符合声明式风格） #

避免依赖本地AWS CLI环境，让Terraform直接管理静态文件的状态，仅在文件变更时更新：

# 遍历static目录下的所有文件
data "fileset" "static_files" {
  directory = "${path.module}/static"
  pattern   = "**/*"
}

# 逐个上传文件到S3
resource "aws_s3_object" "static_content" {
  for_each = data.fileset.static_files.files
  bucket   = aws_s3_bucket.bucket.id
  key      = each.value
  source   = "${path.module}/static/${each.value}"
  etag     = filemd5("${path.module}/static/${each.value}")
  # 若已配置Bucket Policy，可移除acl配置，继承桶的权限
  # acl = "public-read"
}

2. 优化local-exec命令（若坚持使用CLI） #

• 添加错误处理，确保命令失败时Terraform终止执行：

provisioner "local-exec" {
  command = <<EOT
    set -e
    aws s3 sync static/ s3://${aws_s3_bucket.bucket.bucket} --acl public-read --delete
  EOT
}

• 增加日志输出和预验证（dryrun），便于调试：

provisioner "local-exec" {
  command = <<EOT
    set -e
    echo "Starting sync to S3 bucket: ${aws_s3_bucket.bucket.bucket}"
    aws s3 sync static/ s3://${aws_s3_bucket.bucket.bucket} --acl public-read --delete --dryrun
    aws s3 sync static/ s3://${aws_s3_bucket.bucket.bucket} --acl public-read --delete
    echo "Sync completed successfully"
  EOT
}

3. 结合CI/CD流程拆分职责 #

既然已有GitHub Action，可将基础设施部署和内容同步分离：

• Terraform仅负责创建和管理S3桶、Policy、加密等基础设施资源；
• 在GitHub Action中，先执行terraform apply完成基础设施部署，再单独执行aws s3 sync同步静态内容，流程更清晰，也避免Terraform状态文件因大量文件跟踪而膨胀。

内容的提问来源于stack exchange，提问作者user10685914