如何将 iam:PermissionsBoundary 添加到通过 CloudFormation 模板创建的角色

Question

如果有附加的权限边界，我有一个可以创建角色的用户。用户可以通过 AWS 控制台和来自 API 的 API 调用来执行此功能。但是，似乎没有办法在 CloudFormation 中自动执行该过程。是否可以在 CFT 中创建角色并为其附加权限边界？

Answer 1

现在 CloudFormation 的架构 https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-iam-role.html 支持权限边界。

{
  "Type" : "AWS::IAM::Role",
  "Properties" : {
      "AssumeRolePolicyDocument" : Json,
      "ManagedPolicyArns" : [ String, ... ],
      "MaxSessionDuration" : Integer,
      "Path" : String,
      "PermissionsBoundary" : String,
      "Policies" : [ Policy, ... ],
      "RoleName" : String
    }
}

YAML
Type: AWS::IAM::Role
Properties : 
  AssumeRolePolicyDocument : Json
  ManagedPolicyArns : 
    - String
  MaxSessionDuration : Integer
  Path : String
  PermissionsBoundary : String
  Policies : 
    - Policy
  RoleName : String

顺便说一句，在 CFT 出现之前，Terraform 就提供了对它的支持。