如何允许S3存储桶存放CloudFront日志？

【以下的问题经过翻译处理】 你好，

我有两个 S3 存储桶，其中一个存储桶提供网站服务。 Route 53、CloudFront 和 S3 现在都可以很好地为网站提供服务。

我还启用了 CloudFront 标准日志记录并为日志数据选择了一个 S3 存储桶。

是否有我可以应用于S3 存放日志记录权限的策略实例？

我找到了这个，但我收到“策略中的主体无效”错误：

{
    "Version": "2012-10-17",
    "Id": "PolicyForCloudFrontPrivateContent",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity E27xxxx"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        }
    ]
}

另外，打开 Cookie 记录有什么风险吗？

谢谢！