amazon-iam - Cloudformation 如何从另一个堆栈引用托管策略

Question

我有以下角色。我想在其中使用另一个堆栈中的现有托管策略。

我该怎么做？

"TestRole": {
    "Properties": {
      "AssumeRolePolicyDocument": {
        "Statement": [
          {
            "Action": [
              "sts:AssumeRole"
            ],
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "lambda.amazonaws.com"
              ]
            }
          }
        ],
        "Version": "2012-10-17"
      },
      "Path": "/lambda/",
      "Policies": [
        ??????
      ]
    },
    "Type": "AWS::IAM::Role"
  }

Answer 1

现在有一种受支持的方法可以执行此操作，即使用 Imports/Exports 。基本上，创建策略的堆栈具有包含策略名称(或 ARN，不确定在本例中需要哪个)的输出，并将其声明为具有区域唯一名称的导出。然后，其他堆栈可以使用导入功能使用它。

例如，如果以下堆栈(假设它名为 FooStack)创建托管策略，则它的输出中可以包含以下内容:

"Outputs" : {
    "MyManagedPolicy" : {
        "Value" : { "Ref" : "MyManagedPolicy" },
        "Export" : { "Name" : {"Fn::Sub": "${AWS::StackName}-MyManagedPolicy" }}
    }
}

其他堆栈可以使用它:

"Policies": [
    { "Fn::ImportValue" : "FooStack-MyManagedPolicy" }
]