如何通过AWS CDK为多S3桶配置SNS事件通知且不更新SNS访问策略？

可以实现，核心思路是跳过CDK自动为SNS添加策略的逻辑，直接手动配置S3的事件通知目标，同时保留你现有的SNS全局访问策略（允许同账号所有S3桶发送通知）。

关键原理 #

你当前的SNS访问策略已经允许同账号下所有S3服务向主题发送Publish请求：

{
  "Sid": "0",
  "Effect": "Allow",
  "Principal": {
    "Service": "s3.amazonaws.com"
  },
  "Action": "sns:Publish",
  "Resource": "arn:aws:sns:us-east-1:XXXXXXXXXXX:dummy-topic-name",
  "Condition": {
    "StringEquals": {
      "AWS:SourceAccount": "XXXXXXXXXXX"
    }
  }
}

这个策略已经覆盖了所有同账号S3桶的权限，不需要为每个桶单独添加策略条目。而CDK的bucket.addEventNotification搭配SnsDestination时，会自动为每个桶生成单独的SNS策略条目，这正是导致策略超限的原因。

具体CDK实现方式 #

使用CDK的底层CloudFormation资源CfnBucketNotification直接配置S3事件通知，避免触发SNS策略的自动更新：

1. 确保SNS主题的访问策略正确配置 #

如果你的SNS主题是通过CDK创建的，手动添加全局策略，避免CDK自动生成额外策略：

import * as sns from 'aws-cdk-lib/aws-sns';
import * as iam from 'aws-cdk-lib/aws-iam';
import { Stack, StackProps } from 'aws-cdk-lib';
import { Construct } from 'constructs';

export class YourStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    // 创建SNS主题
    const snsTopic = new sns.Topic(this, 'DummyTopic', {
      topicName: 'dummy-topic-name',
    });

    // 添加全局访问策略（替换成你的账号ID）
    const accountId = this.account;
    snsTopic.addToResourcePolicy(new iam.PolicyStatement({
      sid: 'AllowSameAccountS3Publish',
      effect: iam.Effect.ALLOW,
      principals: [new iam.ServicePrincipal('s3.amazonaws.com')],
      actions: ['sns:Publish'],
      resources: [snsTopic.topicArn],
      conditions: {
        StringEquals: {
          'AWS:SourceAccount': accountId,
        },
      },
    }));

    // 后续配置S3桶通知...
  }
}

2. 为每个S3桶配置事件通知 #

遍历桶列表，使用CfnBucketNotification直接绑定SNS主题：

import * as s3 from 'aws-cdk-lib/aws-s3';

// 假设bucketList是你的S3桶实例数组
bucketList.forEach((bucket, index) => {
  new s3.CfnBucketNotification(this, `BucketNotification-${bucket.node.id}-${index}`, {
    bucket: bucket.bucketName, // 传入桶名称
    notificationConfiguration: {
      topicConfigurations: [
        {
          topicArn: snsTopic.topicArn,
          events: ['s3:ObjectCreated:*'], // 对应你需要的事件类型
          // 可选：添加对象过滤规则
          // filter: {
          //   key: {
          //     filterRules: [
          //       { name: 'prefix', value: 'uploads/' },
          //       { name: 'suffix', value: '.txt' }
          //     ]
          //   }
          // }
        }
      ]
    }
  });
});

注意事项 #

• 确保SNS主题的访问策略没有被CDK覆盖：如果之前使用SnsDestination生成了大量策略条目，需要先清理这些条目，保留全局策略即可。
• 权限验证：配置完成后，上传测试文件到某个桶，检查SNS主题是否收到通知，确认权限正常。

内容的提问来源于stack exchange，提问作者Krishna