基于账号ID前缀的AWS S3桶权限配置咨询

完全可以不用逐个硬编码账号，利用IAM的内置变量aws:PrincipalAccount就能实现动态匹配，让每个账号仅能访问自己对应路径下的CloudTrail日志。

核心思路 #

通过桶策略中的${aws:PrincipalAccount}变量，自动将请求发起的账号ID替换到资源路径中，实现账号与日志路径的一一对应，无需为每个账号单独编写规则。

示例桶策略 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::你的CloudTrail存储桶名/Awslogs/${aws:PrincipalAccount}/*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::你的CloudTrail存储桶名",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "Awslogs/${aws:PrincipalAccount}/*"
                }
            }
        }
    ]
}

策略说明 #

• s3:GetObject权限：允许账号下载自己路径下的所有日志文件，资源路径中的${aws:PrincipalAccount}会自动替换为请求发起的账号ID，确保只能访问Awslogs/自己账号ID/下的内容。
• s3:ListBucket权限（可选）：如果需要让账号能查看自己路径下的文件列表，可以添加这条规则，限制仅能列出以自己账号ID为前缀的路径内容。
• Condition条件：通过StringEquals确保只有账号自身发起的请求才能匹配，避免其他账号冒用变量。

注意事项 #

1. 确认你的CloudTrail日志存储路径确实是Awslogs/账号ID/的格式，这是CloudTrail默认的日志组织方式，确保变量替换后路径正确。
2. 确保存储桶没有其他过于宽松的权限策略，避免与该策略冲突。
3. 测试时可以用目标账号的IAM用户发起请求，验证是否能正常访问自己的日志，同时无法访问其他账号的路径。

内容的提问来源于stack exchange，提问作者DenCowboy