如何通过CloudFormation为现有S3桶配置带触发器的Lambda函数？

我之前也踩过这个坑！很多CloudFormation/SAM示例都默认把S3桶和Lambda放在同一个栈里创建，但如果要对接已经存在的S3桶，同时还要支持重新部署栈，我们完全可以通过以下方式实现，不需要修改现有桶的归属或配置。

核心思路 #

不要试图在栈里修改现有S3桶的通知配置（这会导致CloudFormation试图接管整个桶的配置，容易覆盖现有规则），而是从Lambda端创建事件关联，同时配置必要的权限让S3能调用Lambda。

完整SAM模板示例 #

AWSTemplateFormatVersion: '2010-09-09'
Transform: AWS::Serverless-2016-10-31

# 定义参数，部署时传入现有桶的名称
Parameters:
  ExistingS3BucketName:
    Type: String
    Description: 填写你要对接的现有S3桶名称

Resources:
  # 1. 定义你的Lambda函数
  MyS3TriggeredLambda:
    Type: AWS::Serverless::Function
    Properties:
      Handler: index.handler
      Runtime: python3.11
      CodeUri: ./your-lambda-code/  # 替换成你的Lambda代码路径
      # 给Lambda添加读取S3桶的权限（如果你的Lambda需要处理桶内对象的话）
      Policies:
        - S3ReadPolicy:
            BucketName: !Ref ExistingS3BucketName

  # 2. 配置权限，允许S3服务调用这个Lambda
  LambdaInvokePermission:
    Type: AWS::Lambda::Permission
    Properties:
      FunctionName: !Ref MyS3TriggeredLambda
      Action: lambda:InvokeFunction
      Principal: s3.amazonaws.com
      SourceArn: !Sub arn:aws:s3:::${ExistingS3BucketName}
      SourceAccount: !Ref AWS::AccountId  # 限制只有当前账户的桶能触发，更安全

  # 3. 创建Lambda与S3桶的事件源关联
  S3LambdaEventMapping:
    Type: AWS::Lambda::EventSourceMapping
    Properties:
      EventSourceArn: !Sub arn:aws:s3:::${ExistingS3BucketName}
      FunctionName: !Ref MyS3TriggeredLambda
      Enabled: true
      # 指定要监听的S3事件类型，这里是所有对象创建事件
      EventTypes:
        - 's3:ObjectCreated:*'
      # 可选：添加过滤规则，只触发特定前缀/后缀的事件
      FilterCriteria:
        Filters:
          - Pattern: '{"prefix": "uploads/", "suffix": ".json"}'

关键细节说明 #

• 参数化桶名：通过Parameters传递现有桶的名称，这样重新部署时只需传入目标桶名即可，完全灵活可控。
• Lambda权限：LambdaInvokePermission是必须的，它授权S3服务调用你的Lambda函数，SourceArn和SourceAccount确保只有你指定的桶能触发，避免安全风险。
• 事件源映射：AWS::Lambda::EventSourceMapping是核心，它在Lambda侧创建关联，不需要修改现有S3桶的任何配置，不会和桶上已有的其他通知规则冲突。

额外注意事项 #

• 如果你的Lambda不需要读取S3对象，可以去掉S3ReadPolicy，只保留必要的权限。
• 如果你需要更复杂的通知规则（比如多个事件类型或过滤条件），直接修改EventTypes和FilterCriteria即可。
• 部署时，用AWS CLI或SAM CLI传入桶名参数：

  sam deploy --parameter-overrides ExistingS3BucketName=your-existing-bucket-name
  

这样就能完美实现用SAM/CloudFormation部署Lambda，对接现有S3桶的对象创建事件，同时支持重复部署而不影响桶的现有配置。

内容的提问来源于stack exchange，提问作者user1543276