Terraform配置启用AWS负载均衡器访问日志遇Access Denied问题咨询

核心场景说明 #

本次配置面对的环境为：

• 负载均衡器、目标S3存储桶均为存量资源，由其他团队提前创建
• 原有Terraform代码中access_logs配置块被注释，仅预留TODO标记
• 配置过程中持续触发Access Denied报错，无明确的权限缺失提示

90% Access Denied报错的常见诱因（对应版本特性说明） #

Terraform 0.12.4配套的AWS Provider版本普遍在2.0-2.50区间，这个版本段的配置逻辑和新版本存在很大差异，很多报错根本不是S3权限的问题，是版本兼容bug：

• 老版本Provider不会自动为S3桶同步ELB日志推送的授权策略，很多开发者误以为开了LB的access_logs开关，Terraform会自动帮你改S3桶策略，实际上这个自动逻辑是2.70之后的Provider版本才加入的
• 老版本的access_logs块存在字符串拼接bug：如果配置里的prefix字段留空，或者bucket名称末尾带斜杠，会生成格式非法的S3写入路径，触发S3侧的权限校验失败
• 存量资源导入状态不匹配的问题：如果没有用terraform import把现有LB的实际属性拉到状态文件里，直接手动写资源块，apply的时候会出现配置身份和实际资源身份不匹配的问题，报错会模糊为S3的Access Denied

可直接复用的兼容配置写法 #

因为两个资源都是存量的，不需要在代码里全量重写资源创建逻辑，只需要按以下规则补全配置块：

1. 对现有LB资源，取消注释预留的access_logs块，严格按0.12.4的语法要求写，不要使用新版本才支持的嵌套简写语法：

   resource "aws_lb" "existing_lb" {
     # 仅需保持和状态文件完全一致的已有属性，不要额外添加创建类参数
     arn = "替换为现有负载均衡器的实际ARN"
     
     access_logs {
       bucket  = "目标S3桶的实际名称，不要带s3://前缀，不要末尾加斜杠"
       prefix  = "lb/access-logs" # 不要留空，必须填具体前缀路径
       enabled = true
     }
   }
   

2. 不要在这个配置块里额外依赖自动生成S3策略的逻辑，需要手动到目标S3桶侧核对策略权限：
   • 关闭S3桶的“拒绝非桶所有者写入”强制校验配置
   • 为对应负载均衡器类型的日志推送服务主体授予PutObject权限
   • 不要在桶策略里加来源IP白名单规则，ELB日志推送没有固定的源IP段
   • 确保桶没有开启跨域访问拦截、对象锁定等会拦截服务账号写入的配置

分步排查流程 #

• 第一步：先执行terraform plan，仔细核对输出里的access_logs配置，检查S3路径拼接是否有多余斜杠、字段值是否和实际资源匹配，不要直接跑apply
• 第二步：核对执行Terraform操作的账号权限，确保账号有elasticloadbalancing:ModifyLoadBalancerAttributes操作权限，很多时候权限校验失败的报错信息会被AWS SDK模糊成S3侧的Access Denied
• 第三步：如果是跨账号场景（LB和S3桶不在同一个AWS账号下），必须在S3桶策略里显式授权LB所在账号的ELB服务身份，单靠同账号的策略配置是跑不通的
• 第四步：配置下发成功后等待10-15分钟，再去S3桶的对应路径下检查日志文件，ELB的日志推送本身存在固定延迟，不要因为短时间内没看到文件就判断配置失败

实测踩坑提醒 #

• 0.12.4版本不要用独立的关联资源来配置访问日志，所有配置必须写在aws_lb的主资源块内，老版本的关联资源存在状态同步bug，会导致配置反复被重置为禁用状态
• 不要给S3桶的日志路径设置默认的对象覆盖权限，ELB推送日志的时候只会创建新对象，不会修改已有对象，权限配置不匹配会触发写入失败
• 如果配置过程中出现循环依赖报错，检查是否在S3桶策略里引用了LB的输出属性，老版本的Terraform无法正确处理这种跨资源的策略依赖，需要手动固定策略值

内容的提问来源于stack exchange，提问作者user1673554