AWS Cloudformation Elastic Load Balancing 账户 ID

Question

我正在尝试使用云形成创建一个模板，该模板设置一个将日志写入 S3 存储桶的负载均衡器。我不想让每个人都拥有完全访问权限（例如 *），而是想限制 PutObject 仅访问负载均衡器帐户或服务：

{
  "Resources": {
    "LoggingBucketPolicy": {
      "Type": "AWS::S3::BucketPolicy",
      "Properties": {
        "Bucket": {
          "Ref": "LoggingBucket"
        },
        "PolicyDocument": {
          "Action": [
            "s3:PutObject"
          ],
          "Effect": "Allow",
          "Resource": {
            "Fn::Join": [
              "",
              [
                "arn:aws:s3:::",
                {
                  "Ref": "LoggingBucket"
                },
                "/*"
              ]
            ]
          },
          "Principal": {
            "Ref": "ElasticLoadBalancingAccountID" //How do I set this dynamically?
          }
        }
      }
    }
  }
}

documentation 提供各个地区 ELB 实例的账户 ID。但是，我正在创建的模板有一个可用区参数，用户可以在其中选择一个可用区来部署堆栈。所以我最理想的做法是在我的存储桶策略中使用某种ref 变量，该变量根据可用区获取负载均衡器的帐户ID。

我还查看了official documentation 中的示例，但使用Ref 的示例并没有真正定义变量。

我如何做到这一点？

编辑：我指的是可用区而不是区域。输入参数为用户提供区域中可用区域的下拉列表。

Answer 1

我想通了。它不是真正的动态，但比直接硬编码 id 更好。根据this Amazon re-invent presentation，正确的方法是先定义一个映射：

{
  "Mappings": {
    "RegionalConfigs": {
      "us-east-1": {
        "AMI": "",
        "ELBAccountId": "127311923021",
        "ArnPrefix": "arn:aws:"
      },
      "us-west-1": {
        "AMI": "",
        "ELBAccountId": "027434742980",
        "ArnPrefix": "arn:aws:"
      },
      "us-west-2": {
        "AMI": "",
        "ELBAccountId": "797873946194",
        "ArnPrefix": "arn:aws:"
      }
    }
  }
}

然后在策略中使用它：

{
  "Resources": {
    "LoggingBucketPolicy": {
      "Type": "AWS::S3::BucketPolicy",
      "Properties": {
        "PolicyDocument": {
          "Version": "",
          "Resource": {
            "Fn::Join": [
              "",
              [
                {
                  "Fn::FindInMap": [
                    "RegionalConfigs",
                    {
                      "Ref": "AWS::Region"
                    },
                    "ArnPrefix"
                  ]
                },
                "s3:::",
                {
                  "Ref": "LoggingBucket"
                },
                "/",
                "Logs",
                "/AWSLogs/",
                {
                  "Ref": "AWS::AccountId"
                },
                "/*"
              ]
            ]
          },
          "Principal": {
            "AWS": {
              "Fn::FindInMap": [
                "RegionalConfigs",
                {
                  "Ref": "AWS::Region"
                },
                "ELBAccountId"
              ]
            }
          },
          "Action": [
            "s3:PutObject"
          ]
        },
        "Bucket": {
          "Ref": "LoggingBucket"
        }
      }
    }
  }
}

Answer 2

没有包含 ELB 帐户 ID 的变量。这些是 AWS 的各种账户标识符。

要将它们包含在您的政策中，您必须：

1. 对这些帐户 ID 进行硬编码，
2. 在模板中为它们使用输入变量，或者
3. 尝试使用 CloudFormation“映射”来设置区域到帐户 ID 列表的映射，然后使用 AWS::Region 变量选择适当的列表。