Amazon CloudFrontでのログ設定方法について

Question

###実現したいこと
Amazon CloudFront にてアクセスログをS3に保存したい。

###エラー内容
CloudFront の最後の入力項目である[Cleate Distribution]をクリックした際に、左下に赤文字でエラーメッセージが表示され先に進めない状態です。
エラーメッセージよりCloudFrontからS3へのアクセス権限がないことはわかるのですが、具体的にどうすればよいかがわからない状態です。
もしご存じの方いらっしゃれば教えていただきたいです。
よろしくお願いいたします。

com.amazonaws.services.cloudfront.model.AccessDeniedException: You don't have permission to access the S3 bucket for CloudFront logs: delete-config.s3.amazonaws.com If you're using IAM, you need s3:GetBucketAcl and s3:PutBucketAcl permissions to create a distribution or to update log settings for an existing distribution. In addition, the S3 ACL for the bucket must grant you FULL_CONTROL. (Service: AmazonCloudFront; Status Code: 403; Error Code: AccessDenied; Request ID: 01dcad8f-858a-11e7-9ac1-2b6aec25ae59)

Answer 1

対象バケットのACLはどうなっていますか？

$ aws s3api get-bucket-acl --bucket ${bucket_name}

awsdatafeedsアカウントのFULL_CONTROL権限が存在していない場合、ログ出力できません。
下記のような権限です。

        {
            "Grantee": {
                "DisplayName": "awsdatafeeds",
                "ID": "XXXXXXX",
                "Type": "CanonicalUser"
            },
            "Permission": "FULL_CONTROL"
        }

ない場合は追加しましょう。

Comments

[shimizu]

ありがとうございます。権限の問題でした。

Answer 2

現在ログインしている IAM ユーザーに対して、s3:GetBucketAcl と
s3:PutBucketAcl 権限がもしなければ割り当ててください。

また、その IAM ユーザーが delete-config.s3.amazonaws.com
バケットに対してフルコントール権を持つようにしてください。

Comments

[shimizu]

ありがとうございます。権限の問題でした。