CDK V2跨账号流水线无权限部署至Prod账号S3桶问题

疑问1：是否需要使用websiteBucket.grantWrite/grantPut？ #

需要，但和你理解的Bootstrap权限不是一回事——你配置的CDK Bootstrap权限是让Alpha账号（111111）的CloudFormation执行角色能在Prod账号（222222）中操作资源，但CodePipeline的S3 Deploy Action用的是流水线自身的角色，而非Bootstrap的执行角色。

Bootstrap的--trust 111111只是授权Alpha账号的CloudFormation角色在Prod账号执行部署，而S3桶的写入权限是独立的：你的Prod桶是通过其他CloudFormation栈预先创建的，不在当前CDK流水线的管理范围内，所以必须显式给流水线角色授权S3操作权限。

不过你用的grantWrite/grantPut只完成了一半工作——它们会修改Alpha账号中流水线角色的权限策略（允许该角色调用S3的PutObject等动作），但不会修改Prod账号中S3桶的权限策略（允许Alpha的流水线角色访问该桶）。

疑问2：为什么Prod桶的grant*命令未生效？ #

因为你通过S3.Bucket.fromBucketName导入的是现有外部桶，CDK对这类导入的资源没有修改权限——grant*系列方法仅对CDK直接创建的桶（即通过new S3.Bucket(...)定义的资源）生效，会自动给桶添加对应的桶策略。对于导入的桶，CDK只能修改当前栈（Alpha账号的流水线栈）内的角色权限，无法跨账号修改Prod桶的策略，这就是你检查Prod桶权限时看不到流水线角色授权记录的原因。

解决方案 #

要解决权限错误，需要在Prod账号的S3桶上手动添加桶策略，允许Alpha账号的流水线角色执行部署所需的S3动作：

1. 先找到Alpha账号中流水线角色的ARN：在Alpha账号的IAM控制台中，找到CodePipeline自动创建的角色（命名格式通常为<PipelineStackName>-PipelineRole-<随机后缀>）
2. 在Prod账号的S3桶权限配置中，添加以下桶策略（替换占位符）：

{
    "Version": "2012-10-17",
    "Statement": [
        // 保留原有桶策略
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111:role/你的Alpha流水线角色ARN"
            },
            "Action": [
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::dummy.com-222222-us-east-1",
                "arn:aws:s3:::dummy.com-222222-us-east-1/*"
            ]
        }
    ]
}

如果后续希望让CDK自动管理Prod桶的权限，可以把Prod桶的创建逻辑纳入Prod账号的CDK栈中（比如在ApplicationStage里创建桶），这样grant*方法就能自动同步桶策略，无需手动配置。

内容的提问来源于stack exchange，提问作者Yang Liu