防止所有用户删除特定的 cloudformation 堆栈

Question

我有这个 IAM 政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "cloudformation:UpdateStack",
                "cloudformation:DeleteStack"
            ],
            "Resource": "MystackARN"
        }
    ]
}

我将它附加给我的用户进行测试，然后尝试删除 cloudformation 堆栈，然后出现此错误：

Failed to delete stack: User: arn:aws:iam::accountId:user/me is not authorized to perform: cloudformation:DeleteStack on resource: arn:aws:cloudformation:eu-west-1:stackARN

我希望除我之外的所有用户在尝试删除策略中指定的堆栈时都收到此错误。

有没有办法使用AWS CLI 将此策略添加到除我（堆栈所有者）之外的所有用户？

或：

有什么方法可以从除我（堆栈所有者）之外的所有用户中删除权限DeleteStack？

我试过了：

aws iam attach-user-policy --policy-arn arn:aws:iam::AccountId:policy/cfn-policy --user-name arn:aws:iam::AccountId:user/*

但是没有用。

Answer 1

实现此目的的一个简单方法是：

1. 创建一个 IAM 组并将您的拒绝策略附加到它
2. 将除您自己以外的所有用户添加到组中

这将是 AWS 推荐的方式。