如何将S3桶设为参数配置AWS CloudFormation IAM策略的Resource字段

我来帮你搞定这个问题！要实现把S3桶作为参数传入IAM策略的Resource字段，你只需要两步：先在CloudFormation模板里定义参数，再用CloudFormation的字符串替换功能动态生成桶的ARN。

1. 定义接收S3桶名称的参数 #

首先在CloudFormation模板的Parameters区块里，添加一个用于传入桶名的参数：

Parameters:
  AllowedS3Bucket:
    Type: String
    Description: "名称：需要授权访问的目标S3桶"

2. 修改IAM策略的Resource字段 #

接下来修改你的IAM Policy资源，用!Sub（CloudFormation的字符串替换函数）动态生成S3桶的ARN，替换原来固定的Resource: "*"。注意S3的权限通常需要覆盖桶本身和桶内所有对象两个资源：

Resources:
  # 假设你已经定义了对应的IAM角色，这里用MyTargetIAMRole示例
  MyTargetIAMRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: "ec2.amazonaws.com" # 可根据实际信任实体修改
            Action: "sts:AssumeRole"

  RolePolicies:
    Type: AWS::IAM::Policy
    Properties:
      PolicyName: "S3BucketAccessPolicy"
      Roles:
        - !Ref MyTargetIAMRole # 关联到上面定义的IAM角色
      PolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            # 建议根据实际需求限制Action，避免过度授权
            Action:
              - "s3:GetObject"
              - "s3:ListBucket"
            Resource:
              - !Sub "arn:aws:s3:::${AllowedS3Bucket}" # 桶本身的ARN
              - !Sub "arn:aws:s3:::${AllowedS3Bucket}/*" # 桶内所有对象的ARN

关键细节说明 #

• !Sub函数会自动把${AllowedS3Bucket}替换成你部署栈时传入的桶名，生成符合AWS规范的ARN。
• 我把示例里的Action: "*"改成了更安全的S3专属权限，你可以根据实际需求进一步缩小范围（比如只允许上传就保留s3:PutObject）。
• 一定要给AWS::IAM::Policy的Roles属性指定关联的IAM角色，否则这个策略不会绑定到任何实体，也就不会生效。

部署时的操作 #

当你部署这个CloudFormation栈时，系统会提示你输入AllowedS3Bucket参数的值，填入目标S3桶的名称即可，策略会自动适配这个桶的资源。

内容的提问来源于stack exchange，提问作者Vinny