（以编程方式）推断部署 AWS 模板所需的 AWS IAM 权限

Question

我正在开发一个自动化管道（使用 Jenkins），它将驻留在 git 存储库中的 AWS Cloudformation 模板部署到 AWS。

我有一个工作管道，该管道由 AWS IAM 用户运行，其访问密钥被 Jenkins 作业用于与 AWS Cloudformation API 对话。

我面临的问题是，我最好让这个 IAM 用户拥有尽可能少的权限，但它应该有足够的权限来访问 Cloudformation API 以及创建我拥有模板的资源。

为了确定这个最小权限集，我的问题是是否存在应用程序、程序包或 AWS 实用程序（我还没有找到）来推断执行给定（一组) Cloudformation 模板，最好以编程方式使用。

提前感谢您的任何建议！

Answer 1

这是非常好的东西，但由于某种原因，亚马逊不愿意提供一个 API 来检查这个。

解决此问题的一种巧妙方法可能是一遍又一遍地运行 cloudformation 模板并检查输出是否缺少权限。然后，您每次都将它们添加到临时 IAM 角色并重复，直到您拥有启动模板的所有权限。这可能需要相当长的时间，但可能是以编程方式解决此问题的唯一实际方法。