如何通过CDK v3 JavaScript为跨账户现有S3桶添加CORS规则？

因为IBucket是只读接口，仅用于引用现有桶，不提供修改资源的方法，所以无法直接通过CDK的IBucket实例添加CORS规则。以下是两种可行的解决思路：

方法1：通过CDK CustomResource自定义资源实现 #

利用CustomResource调用Lambda函数，通过AWS SDK修改目标桶的CORS规则，这是CDK中修改现有跨账户资源的标准方式：

1. 创建处理CORS规则的Lambda函数：
   编写Lambda代码，使用S3客户端的putBucketCors方法修改目标桶配置，同时处理资源的创建、更新、删除事件。
2. 配置IAM权限：
   给Lambda执行角色添加s3:PutBucketCors和s3:DeleteBucketCors权限，同时确保目标桶所在账户的桶策略允许该角色操作。
3. 定义CustomResource触发Lambda：
   在CDK栈中创建CustomResource，传入目标桶名和CORS规则参数，触发Lambda执行修改操作。

示例TypeScript代码：

import * as cdk from 'aws-cdk-lib';
import { CustomResource } from 'aws-cdk-lib/custom-resources';
import { Function, Runtime, Code } from 'aws-cdk-lib/aws-lambda';
import { PolicyStatement } from 'aws-cdk-lib/aws-iam';

const app = new cdk.App();
const stack = new cdk.Stack(app, 'CrossAccountS3CorsStack');

// 定义修改CORS的Lambda函数
const corsUpdaterLambda = new Function(stack, 'S3CorsUpdaterFn', {
  runtime: Runtime.NODEJS_18_X,
  handler: 'index.handler',
  code: Code.fromInline(`
    const AWS = require('aws-sdk');
    const s3 = new AWS.S3();

    exports.handler = async (event) => {
      const { RequestType, ResourceProperties } = event;
      const { bucketName, corsRules } = ResourceProperties;

      try {
        if (RequestType === 'Create' || RequestType === 'Update') {
          await s3.putBucketCors({
            Bucket: bucketName,
            CORSConfiguration: { CORSRules: corsRules }
          }).promise();
        }
        if (RequestType === 'Delete') {
          await s3.deleteBucketCors({ Bucket: bucketName }).promise();
        }
        return { PhysicalResourceId: bucketName };
      } catch (err) {
        throw new Error(\`Failed to update CORS: \${err.message}\`);
      }
    };
  `),
});

// 给Lambda添加操作目标桶的权限
corsUpdaterLambda.addToRolePolicy(new PolicyStatement({
  actions: ['s3:PutBucketCors', 's3:DeleteBucketCors'],
  resources: ['arn:aws:s3:::TARGET_BUCKET_NAME'], // 替换为目标桶ARN
}));

// 目标账户的桶需配置如下策略（替换占位符）
// {
//   "Version": "2012-10-17",
//   "Statement": [
//     {
//       "Effect": "Allow",
//       "Principal": { "AWS": "ARN_OF_LAMBDA_EXECUTION_ROLE" },
//       "Action": ["s3:PutBucketCors", "s3:DeleteBucketCors"],
//       "Resource": "arn:aws:s3:::TARGET_BUCKET_NAME"
//     }
//   ]
// }

// 创建CustomResource触发Lambda
new CustomResource(stack, 'CrossAccountS3Cors', {
  serviceToken: corsUpdaterLambda.functionArn,
  properties: {
    bucketName: 'TARGET_BUCKET_NAME', // 替换为目标桶名称
    corsRules: [
      {
        AllowedHeaders: ['*'],
        AllowedMethods: ['GET', 'POST'],
        AllowedOrigins: ['https://your-domain.com'],
        ExposeHeaders: ['ETag'],
        MaxAgeSeconds: 3000
      }
    ]
  }
});

方法2：直接使用AWS CLI或SDK修改 #

如果不需要通过CDK管理配置，可直接用AWS CLI执行命令修改：

aws s3api put-bucket-cors --bucket TARGET_BUCKET_NAME --cors-configuration file://cors-config.json

其中cors-config.json示例：

{
  "CORSRules": [
    {
      "AllowedHeaders": ["*"],
      "AllowedMethods": ["GET", "POST"],
      "AllowedOrigins": ["https://your-domain.com"],
      "ExposeHeaders": ["ETag"],
      "MaxAgeSeconds": 3000
    }
  ]
}

执行前需确保当前AWS身份拥有目标桶的s3:PutBucketCors权限，且目标桶策略允许该身份操作。

内容的提问来源于stack exchange，提问作者jing