如何防止CloudFormation栈的S3 BucketPolicy被其他栈静默修改？

S3存储桶仅能关联一个BucketPolicy，多个CloudFormation（CFN）栈同时定义该资源指向同一桶时，后部署的栈会直接覆盖原有策略，导致静默修改问题。以下是几种可行的解决方式：

1. 统一BucketPolicy的管理归属 #

核心原则是仅让单个CFN栈负责管理目标桶的BucketPolicy：

• 清理其他栈中针对该桶定义的BucketPolicy资源，将所有权限规则整合到目标栈的BucketPolicy内。
• 如果必须多栈协作分配桶权限，优先使用IAM角色/策略、桶ACL来实现，避免直接操作BucketPolicy。

2. 在BucketPolicy中添加栈专属保护条件 #

在目标栈的BucketPolicy里加入拒绝规则，仅允许当前栈发起的修改操作：

Resources:
  TargetBucketPolicy:
    Type: AWS::S3::BucketPolicy
    Properties:
      Bucket: !Ref TargetBucket
      PolicyDocument:
        Version: "2012-10-17"
        Statement:
          # 保留原有业务权限声明
          - Effect: Allow
            Principal: "*"
            Action: "s3:GetObject"
            Resource: !Sub "arn:aws:s3:::${TargetBucket}/*"
          # 保护策略本身的规则
          - Effect: Deny
            Principal: "*"
            Action: "s3:PutBucketPolicy"
            Resource: !Sub "arn:aws:s3:::${TargetBucket}"
            Condition:
              StringNotEquals:
                "aws:CloudFormationStackId": !Ref AWS::StackId
                "aws:ResourceAccount": !Ref AWS::AccountId

该规则会拦截所有非当前CFN栈发起的PutBucketPolicy请求，从根源上阻止其他栈或手动操作修改桶策略。

3. 为目标栈设置资源锁 #

给包含BucketPolicy的CFN栈启用资源锁，选择Full锁级别：

• 启用后，任何对栈的更新、删除操作都会被阻止，包括试图修改BucketPolicy的操作。
• 适合生产环境等不需要频繁变更的场景，如需修改需先手动解锁。

4. 通过IAM权限限制修改操作 #

创建IAM策略，仅允许目标栈的执行角色执行PutBucketPolicy操作：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutBucketPolicy",
      "Resource": "arn:aws:s3:::your-target-bucket",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/your-stack-execution-role"
      }
    },
    {
      "Effect": "Deny",
      "Action": "s3:PutBucketPolicy",
      "Resource": "arn:aws:s3:::your-target-bucket",
      "NotPrincipal": {
        "AWS": "arn:aws:iam::123456789012:role/your-stack-execution-role"
      }
    }
  ]
}

将该策略附加到相关IAM实体，确保只有目标栈的执行角色能修改桶的BucketPolicy。

内容的提问来源于stack exchange，提问作者wz366