[Seção 05 - Criando um Site Estático] - The S3 bucket that you specified for CloudFront logs does not enable ACL access

[fabricio-b-oliveira-fb]

Olá! Tudo bem?

Estou recebendo um erro relacionado ao recurso acl.

Apesar de seguir as recomendações dadas em resposta à uma issue similar aqui do curso e pesquisar na doc do Terraform o erro abaixo persiste:

Desde já agradeço pela ajuda e atenção.

Versão do Terraform: 1.9.3

│ Error: creating CloudFront Distribution: operation error CloudFront: CreateDistributionWithTags, https response error StatusCode: 400, RequestID: 80cfafd8-90ce-4842-a133-d57448e663c2, InvalidArgument: The S3 bucket that you specified for CloudFront logs does not enable ACL access: rationally-fully-miserably-quality-shark-logs.s3.amazonaws.com
│
│   with aws_cloudfront_distribution.this,
│   on cloudfront.tf line 5, in resource "aws_cloudfront_distribution" "this":
│    5: resource "aws_cloudfront_distribution" "this" {

Obs.: o erro só acontece relacionado ao bucket de log

Solução recomendada: (aparentemente não funciona para o bucket de log)

block_public_acls = false
block_public_policy = false
ignore_public_acls = false
restrict_public_buckets = false

-> s3.tf (alteração segundo recomendação da versão 1.9.3)

data "template_file" "s3-public-policy" {
  template = file("policy.json")
  vars = {
    bucket_name = local.domain
    cdn_oai     = aws_cloudfront_origin_access_identity.this.id
  }
}

module "logs" {
  source        = "github.com/chgasparoto/terraform-s3-object-notification"
  name          = "${local.domain}-logs"
  acl           = "log-delivery-write"
  force_destroy = !local.has_domain
  tags          = local.common_tags

  block_public_acls       = false
  block_public_policy     = false
  ignore_public_acls      = false
  restrict_public_buckets = false
}

module "website" {
  source        = "github.com/chgasparoto/terraform-s3-object-notification"
  name          = local.domain
  acl           = "public-read"
  policy        = { json = data.template_file.s3-public-policy.rendered }
  force_destroy = !local.has_domain
  tags          = local.common_tags

  block_public_acls       = false
  block_public_policy     = false
  ignore_public_acls      = false
  restrict_public_buckets = false

  versioning = {
    enabled = true
  }

  filepath = "${local.website_filepath}/build"
  website = {
    index_document = "index.html"
    error_document = "index.html"
  }

  logging = {
    target_bucket = module.logs.name
    target_prefix = "access/"
  }
}

module "redirect" {
  source        = "github.com/chgasparoto/terraform-s3-object-notification"
  name          = "www.${local.domain}"
  acl           = "public-read"
  force_destroy = !local.has_domain
  tags          = local.common_tags

  block_public_acls       = false
  block_public_policy     = false
  ignore_public_acls      = false
  restrict_public_buckets = false

  website = {
    redirect_all_requests_to = local.has_domain ? var.domain : module.website.website
  }
}

-> cloudfron.tf (arquivo não alterado)

resource "aws_cloudfront_origin_access_identity" "this" {
  comment = local.domain
}

resource "aws_cloudfront_distribution" "this" {
  enabled             = true
  is_ipv6_enabled     = true
  comment             = "Managed by Terraform"
  default_root_object = "index.html"
  aliases             = local.has_domain ? [local.domain] : []

  logging_config {
    bucket          = module.logs.domain_name
    prefix          = "cnd/"
    include_cookies = true
  }

  default_cache_behavior {
    allowed_methods        = ["HEAD", "GET", "OPTIONS"]
    cached_methods         = ["HEAD", "GET"]
    target_origin_id       = local.regional_domain
    viewer_protocol_policy = "redirect-to-https"
    min_ttl                = 0
    default_ttl            = 3600  # 1h
    max_ttl                = 86400 # 1d

    forwarded_values {
      query_string = false
      headers      = ["Origin"]
      cookies {
        forward = "none"
      }
    }
  }

  origin {
    domain_name = local.regional_domain
    origin_id   = local.regional_domain

    s3_origin_config {
      origin_access_identity = aws_cloudfront_origin_access_identity.this.cloudfront_access_identity_path
    }
  }

  restrictions {
    geo_restriction {
      restriction_type = "none"
    }
  }

  dynamic "viewer_certificate" {
    for_each = local.has_domain ? [] : [0]
    content {
      cloudfront_default_certificate = true
    }
  }

  dynamic "viewer_certificate" {
    for_each = local.has_domain ? [0] : []
    content {
      acm_certificate_arn = aws_acm_certificate.this[0].arn
      ssl_support_method  = "sni-only"
    }
  }

  tags = local.common_tags
}

[chgasparoto]

@fabricio-b-oliveira-fb tente atualizar esta parte do código para ver se corrige o erro.

A função file retorna o conteúdo literal do arquivo sem interpolação.

file reads a file from disk and returns its literal contents without any template interpretation.

Já a função templatefile tem o mesmo comportamento que o antigo template mas com uma pequena alteração na sintaxe.

templatefile reads the file at the given path and renders its content as a template using a supplied set of template variables.

data "template_file" "s3-public-policy" {
  template = templatefile("policy.json", {
    bucket_name = local.domain
    cdn_oai     = aws_cloudfront_origin_access_identity.this.id
  })
}

[chgasparoto]

Você pode passar o retorno da função direto para o módulo sem a necessidade do data "template_file".

module "website" {
  source        = "github.com/chgasparoto/terraform-s3-object-notification"
  name          = local.domain
  acl           = "public-read"
  policy = {
    json = templatefile("policy.json", {
      bucket_name = local.domain
      cdn_oai     = aws_cloudfront_origin_access_identity.this.id
    })
  }
...

[fabricio-b-oliveira-fb]

@chgasparoto agradeço pelo apoio.

Ajustado.