Cloudformation 堆栈创建策略

Question

我正在为运行 cloudformation/sam 制定一个角色/策略，以尽可能地限制访问。是否有一组通用的策略操作可用于运行 create-stack？

这是针对我在应用程序运行期间使用 cloudformation 模板创建基础架构的代码构建。

目前我有一个允许完全访问的策略，因为它需要在堆栈中创建基础架构。

但是 cloudformation 只有一部分操作可以实际执行，并且不需要完全访问权限。例如，CF 不能将项目放入 dynamodb 表中。

所以这让我想到，也许有一个基本角色/政策仅限于 cloudformation 能够执行的操作。

Answer 1

如果您必须为服务（例如 CodePipeline 或 CodeBuild）分配角色以部署堆栈，您不仅需要分配必要的 CloudFormation 权限（例如 cloudformation:CreateStack 或 cloudformation:ExecuteChangeSet），而且还有部署 CloudFormation 堆栈本身所需的权限。

当您手动部署堆栈时，CloudFormation 将使用您的用户权限来验证对您正在部署/更新的服务的访问权限。当您从另一个 AWS 服务启动操作时，会发生同样的事情，但使用来自服务角色的服务。 （除非您专门为 CloudFormation 堆栈分配角色，documentation）。

请记住，如果您正在构建这样的角色，CloudFormation 可能需要比您想象的更多的权限，例如额外的读取权限、向资源添加标签的权限、删除和/或更新这些资源的权限重新删除/更新资源等。