不集成AWS Security Hub时如何将Cloud Custodian数据导出到Amazon S3存储桶

以下方案均不需要依赖AWS Security Hub集成，可直接完成数据导出：

方案1：使用Cloud Custodian原生S3输出动作 #

这是最轻量化的实现方案，无需额外部署组件，直接在Custodian策略中配置S3写入动作即可：
Cloud Custodian内置put-object动作，支持直接将策略执行结果写入指定S3桶，可自定义存储前缀、导出格式、压缩规则等参数，示例策略配置如下：

policies:
  - name: unencrypted-s3-bucket-audit
    resource: s3
    filters:
      - type: bucket-encryption
        state: False
    actions:
      - type: put-object
        bucket: 替换为你的目标S3桶名
        key_prefix: custodian_exports/unencrypted_s3/
        format: json
        compress: gzip

方案2：本地/托管实例运行时同步输出到S3 #

如果你的Custodian任务是在本地服务器、EC2、ECS等环境中运行，可通过脚本串联执行和上传步骤：

1. 执行Custodian策略时默认会将结果输出到指定的本地目录
2. 策略执行完成后调用AWS CLI的同步命令将本地输出目录上传到S3
   示例执行脚本如下：

# 执行策略，结果输出到本地output目录
custodian run -s ./output your_policy_file.yml
# 同步输出文件到S3，按执行时间生成存储前缀避免覆盖
aws s3 sync ./output s3://你的目标S3桶名/custodian_runs/$(date +%Y%m%d%H%M%S)/

该方案适合需要先对导出数据做自定义过滤、格式化、校验等后处理逻辑的场景。

方案3：Lambda部署模式下的S3导出 #

如果你的Cloud Custodian是部署为AWS Lambda函数运行，可直接在Lambda侧完成导出：

• 为Lambda执行角色添加目标S3桶的s3:PutObject权限
• 在Custodian策略中配置和方案1一致的put-object动作，或直接在Lambda的执行逻辑中将运行结果写入S3即可

• 所有方案都需要保证Custodian运行时使用的IAM身份仅配置最小必要权限，仅开放目标S3桶的写入权限即可
• 如果导出数据包含敏感资源信息，建议开启目标S3桶的服务端加密、访问日志、桶策略限制等安全配置
• 可根据下游使用需求选择导出格式，原生支持json、csv等格式，开启压缩可大幅降低存储成本

内容的提问来源于stack exchange，提问作者Bokambo