AWS Cloud Formation Elastic Load Balancing帐户ID

Question

我正在尝试创建一个模板，其中包含设置将日志写入S3存储桶的负载平衡器的云阵列。而不是给全面进入每个人（例如*），我想限制PutObject只能访问负载平衡器帐户或服务：各地区ELB实例

{ 
    "Resources": { 
    "LoggingBucketPolicy": { 
     "Type": "AWS::S3::BucketPolicy", 
     "Properties": { 
     "Bucket": { 
      "Ref": "LoggingBucket" 
     }, 
     "PolicyDocument": { 
      "Action": [ 
      "s3:PutObject" 
      ], 
      "Effect": "Allow", 
      "Resource": { 
      "Fn::Join": [ 
       "", 
       [ 
       "arn:aws:s3:::", 
       { 
        "Ref": "LoggingBucket" 
       }, 
       "/*" 
       ] 
      ] 
      }, 
      "Principal": { 
      "Ref": "ElasticLoadBalancingAccountID" //How do I set this dynamically? 
      } 
     } 
     } 
    } 
    } 
} 

的documentation提供帐户ID的。但是，我创建的模板具有可用区参数，用户可以在其中选择可用区来部署堆栈。所以我最想做的是在我的存储桶策略中使用某种ref变量，该变量根据可用区域获取负载均衡器的帐户ID。

我也看过official documentation中的例子，但使用Ref的一个例子并没有真正定义变量。

我该如何做到这一点？

编辑：我的意思是可用性区域而不是区域。输入参数为用户提供区域中可用区域的下拉菜单。

Answer 1

没有包含ELB帐户ID的变量。这些是AWS的各种帐户标识符。

将它们包含在你的政策，你必须要么：

1. 硬编码的帐户ID，
2. 使用的输入变量到您的模板对他们来说，或
3. 尝试使用CloudFormation“地图“来设置地区到账户ID列表的地图，然后使用AWS::Region变量选择适当的列表。

Answer 2

我想通了。它不是真正的动态，但比直接硬编码id更好。按照this Amazon re-invent presentation，正确的方法是先定义一个映射：

{ 
    "Mappings": { 
    "RegionalConfigs": { 
     "us-east-1": { 
     "AMI": "", 
     "ELBAccountId": "127311923021", 
     "ArnPrefix": "arn:aws:" 
     }, 
     "us-west-1": { 
     "AMI": "", 
     "ELBAccountId": "027434742980", 
     "ArnPrefix": "arn:aws:" 
     }, 
     "us-west-2": { 
     "AMI": "", 
     "ELBAccountId": "797873946194", 
     "ArnPrefix": "arn:aws:" 
     } 
    } 
    } 
} 

，然后在策略中使用它：

{ 
    "Resources": { 
    "LoggingBucketPolicy": { 
     "Type": "AWS::S3::BucketPolicy", 
     "Properties": { 
     "PolicyDocument": { 
      "Version": "", 
      "Resource": { 
      "Fn::Join": [ 
       "", 
       [ 
       { 
        "Fn::FindInMap": [ 
        "RegionalConfigs", 
        { 
         "Ref": "AWS::Region" 
        }, 
        "ArnPrefix" 
        ] 
       }, 
       "s3:::", 
       { 
        "Ref": "LoggingBucket" 
       }, 
       "/", 
       "Logs", 
       "/AWSLogs/", 
       { 
        "Ref": "AWS::AccountId" 
       }, 
       "/*" 
       ] 
      ] 
      }, 
      "Principal": { 
      "AWS": { 
       "Fn::FindInMap": [ 
       "RegionalConfigs", 
       { 
        "Ref": "AWS::Region" 
       }, 
       "ELBAccountId" 
       ] 
      } 
      }, 
      "Action": [ 
      "s3:PutObject" 
      ] 
     }, 
     "Bucket": { 
      "Ref": "LoggingBucket" 
     } 
     } 
    } 
    } 
}