amazon-web-services - 将堆栈集部署到多个区域时如何避免重复的 IAM 角色

Question

您好，我对 cloudformation 有点生疏。但正在致力于跨 15 个账户和多区域部署 stacset。我已经在一个区域进行了测试，但是当添加另一个区域时，它会崩溃。原因是因为我有来自中央帐户的 lambda 将承担的 iam 角色。子角色部署在每个账户的 us-east-1 中，但当它到达另一个区域时，由于 iam 是全局的，模板会失败。我一直在研究如何利用杠杆的条件，但没有什么令人困惑的。有什么帮助或想法吗？

Answer 1

有两种方法可以解决这个问题:

1. 创建单个角色并将该角色的 ARN 提供给需要它的堆栈(通过参数或 import )。这意味着您有两件事需要维护。
2. 在使用该角色的事物旁边创建角色，并将区域标识符添加到角色名称中。

其中，我非常更喜欢选项#2。以下是 Lambda 执行角色的示例(LambdaName 是堆栈参数)。请注意，我还包括堆栈名称:我喜欢将同一堆栈中的所有内容都列出在一起。

!Sub "${AWS::StackName}-${AWS::Region}-${LambdaName}-ExecutionRole"

像这样的详细角色名称的问题是角色名称的最大长度为 64 个字符。因此，我可能会省略 LambdaName 以保持低于此限制(尤其是创建单个 Lambda 的堆栈，我通常使用 AWS::StackName 作为 Lambda 的名称)。