Elastic Beanstalk部署新应用版本报错与S3权限配置问题

问题1：如何正确配置S3策略保证eb deploy正常执行 #

你之前修改s3:DeleteBucket权限的操作方向错误，EB部署全程不需要删除存储桶的权限，且Elastic Beanstalk的服务关联角色会自动重置这条防护类策略，手动修改不会生效。正确配置步骤如下：

• 先确认你的EB关联S3存储桶，默认命名格式为elasticbeanstalk-<AWS区域>-<你的AWS账户ID>
• 保留原有拒绝所有主体删除存储桶的策略不动，新增权限条目给两类主体开放S3操作权限：
  1. 给你本地执行eb deploy命令的IAM用户添加以下权限：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "s3:PutObject",
          "s3:GetObject",
          "s3:ListBucket"
        ],
        "Resource": [
          "arn:aws:s3:::elasticbeanstalk-<替换为你的区域>-<替换为你的账户ID>",
          "arn:aws:s3:::elasticbeanstalk-<替换为你的区域>-<替换为你的账户ID>/*"
        ]
      }
    ]
  }
  

  2. 检查EB服务关联角色AWSServiceRoleForElasticBeanstalk的默认权限AWSElasticBeanstalkServiceRolePolicy是否被修改，默认权限已经包含所需的S3读写权限，如被改动请恢复默认配置。
• 如果你的S3桶存在其他全局Deny策略覆盖了上述允许权限，可以在原有Deny策略中添加条件排除EB相关主体：

  "Condition": {
    "StringNotEquals": {
      "aws:PrincipalArn": [
        "arn:aws:iam::<替换为你的账户ID>:role/aws-service-role/elasticbeanstalk.amazonaws.com/AWSServiceRoleForElasticBeanstalk",
        "arn:aws:iam::<替换为你的账户ID>:user/<替换为你本地使用的IAM用户名>"
      ]
    }
  }
  

配置完成后不需要手动调整原有删除桶的拒绝策略，平台也不会覆盖你新增的权限条目。

问题2：控制台上传zip包部署与EB CLI部署的区别 #

两者底层部署逻辑完全一致，都是将应用包上传到EB关联的S3存储桶，再触发环境实例拉取应用包更新。仅在操作层存在以下差异：

• 打包逻辑不同：EB CLI会自动读取本地目录的.ebignore规则，排除不需要的文件后自动打包，不会出现目录结构错误的问题；控制台部署需要你手动提前打好zip包，容易出现多打包一层目录、包含多余缓存文件的问题。
• 校验时机不同：EB CLI在执行eb deploy前会先校验本地IAM权限、本地配置与远端EB环境的匹配度，有问题会提前报错；控制台上传只会在校验上传权限，配置类问题到部署阶段才会报错。
• 附加能力不同：EB CLI支持在部署时自动添加版本标签、描述，还可配合本地钩子脚本实现部署前的代码编译、检查等操作；控制台部署需要手动填写版本信息，不支持本地前置操作。

内容的提问来源于stack exchange，提问作者Sanghak