如何在Sceptre模板中配置S3对象的Origin Access Control自动化部署？

核心逻辑 #

手动配置的顺序（先OAC→再CloudFront分发→最后S3桶策略）必须在Sceptre中通过显式依赖声明和分阶段部署落地，避免因资源创建顺序错位导致的权限不匹配问题。

步骤1：单独定义Origin Access Control (OAC)资源 #

创建origin_access_control.yaml资源文件，优先部署OAC——因为CloudFront分发需要引用它：

type: AWS::CloudFront::OriginAccessControl
properties:
  OriginAccessControlConfig:
    Name: my-s3-oac
    Description: OAC for restricting S3 access to CloudFront
    OriginAccessControlOriginType: s3
    SigningBehavior: always
    SigningProtocol: sigv4

步骤2：部署CloudFront分发（暂不关联S3桶策略） #

创建cloudfront_distribution.yaml，通过depends_on关联OAC资源，确保OAC先创建完成：

type: AWS::CloudFront::Distribution
properties:
  DistributionConfig:
    Origins:
      - DomainName: !Sub "${S3BucketName}.s3.amazonaws.com"
        Id: my-s3-origin
        OriginAccessControlId: !Ref OriginAccessControl
    DefaultCacheBehavior:
      TargetOriginId: my-s3-origin
      ViewerProtocolPolicy: redirect-to-https
      CachePolicyId: 658327ea-f89d-4fab-a63d-7e88639e58f6 # 托管缓存策略：CachingOptimized
    Enabled: true
depends_on:
  - origin_access_control

此时S3桶还未配置允许CloudFront访问的策略，分发暂时无法正常访问S3，属于预期状态。

步骤3：配置S3桶及关联策略 #

创建s3_bucket.yaml，通过depends_on关联CloudFront分发资源，确保先拿到分发ARN再生成桶策略：

type: AWS::S3::Bucket
properties:
  BucketName: my-content-bucket
  BucketPolicy:
    Version: "2012-10-17"
    Statement:
      - Effect: Allow
        Principal:
          Service: cloudfront.amazonaws.com
        Action: s3:GetObject
        Resource: !Sub "${AWS::StackName}-s3-bucket/*"
        Condition:
          StringEquals:
            AWS:SourceArn: !Sub "arn:aws:cloudfront::${AWS::AccountId}:distribution/${CloudFrontDistribution}"
depends_on:
  - cloudfront_distribution

桶策略通过AWS:SourceArn条件限制仅指定CloudFront分发可通过OAC访问S3，避免权限过度开放。

步骤4：分阶段执行Sceptre部署 #

按以下顺序执行部署命令，确保资源创建顺序正确：

1. 部署OAC：

   sceptre deploy --var "region=us-east-1" origin_access_control
   

2. 部署CloudFront分发：

   sceptre deploy --var "region=us-east-1" cloudfront_distribution
   

3. 部署S3桶及策略：

   sceptre deploy --var "region=us-east-1" s3_bucket
   

更新场景注意事项 #

• 修改OAC配置：先更新OAC资源，再更新CloudFront分发，最后按需同步S3桶策略
• 修改分发配置：若涉及分发ARN变更（极少发生），需同步更新S3桶策略的AWS:SourceArn条件

内容的提问来源于stack exchange，提问作者Kevin S