如何在我的新 CloudFormation 模板中引用现有角色？

Question

在我的 AWS 账户中，我正在构建一个用于创建新策略的新 Cloudformation 模板，并且我想将这些模板附加到账户中的一些现有角色。 以下是我尝试引用它们的方式：

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "Names of existing roles to which the restrictive policies need added",
    "Parameters": {
        "AdditionalExecutionRoleParameter": {
            "Type": "AWS::IAM::Role",
            "Default": "CloudOps"
        }
    },
    "Resources": { (and so on)

然后在新策略下方的部分中，我一直在尝试引用这些现有角色（在本例中为“AdditionalExecutionRoleParameter”）并使用 Roles 参数将策略附加到它们。但是，在尝试部署 CloudFormation 模板时，我不断收到“无法检索外部值”错误...我尝试输入角色名称“CloudOps”作为参数“默认”，并且我已经还尝试在那里输入角色 ARN ......没有任何效果。

Answer 1

参数type 字段并非支持所有AWS 资源类型。

完整列表位于AWS-Specific Parameter Types。它包括，例如：

• AWS::EC2::VPC::Id
• 列表<:ec2::vpc::id>
• AWS::SSM::参数::名称

此列表不包括 AWS::IAM::Role（或任何 IAM 资源）。

如果您只是尝试将新的 IAM 策略与现有的命名 IAM 角色相关联，请注意 AWS::IAM::Policy 构造具有 Roles 属性，您应该提供角色名称列表以将策略应用于.它需要角色 names，而不是角色 ARNs，因此您不需要帐户 ID。

如果您确实需要帐户 ID，那么它可以作为伪参数使用，您可以从 "Ref" : "AWS::AccountId" 获取它，但我认为您在这里不需要它。

这是一个 JSON 示例，说明如何创建新的 IAM 策略（允许 mybucket/* 上的 s3:Get*）并将其与现有 IAM 角色相关联，您将其名称作为参数提供给堆栈：

{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Description": "Add policy to role test",
  "Parameters": {
    "TheRoleName": {
      "Type": "String",
      "Default": "CloudOps",
      "Description": "Name of role to associate policy with"
    }
  },
  "Resources": {
    "ThePolicy": {
      "Type": "AWS::IAM::Policy",
      "Properties": {
        "PolicyName": "s3-read",
        "PolicyDocument": {
          "Statement": {
            "Effect": "Allow",
            "Action": [
              "s3:Get*"
            ],
            "Resource": ["arn:aws:s3:::mybucket/*"]
          }
        },
        "Roles": [
          {
            "Ref": "TheRoleName"
          }
        ]
      }
    }
  }
}

Answer 2

嗯...我最终做的就是这么简单，效果很好...

"Parameters": {
    "RoleNameRoleParameter": {
        "Type": "String",
        "Default": "RoleNameRole"