amazon-web-services - AWS CloudFormation 堆栈中的资源之间的权限和堆栈独立性

Question

我有 2 个系统(A 和 B)，每个系统都有一个 CloudFormation 堆栈。系统 B 通过 API 网关公开 REST API，系统 A 调用该 API。我希望每个系统的 CloudFormation 堆栈独立于其他系统，以便可以按任何顺序部署它们。

我在堆栈 A 中的 lambda 调用堆栈 B 中公开的 API 时遇到 IAM 权限问题。要创建策略，我需要知道系统 B 中的 API 网关的 ID。调用 API 时没有类似的问题因为我使用众所周知的自定义域名。

如果 IAM 角色可以分配给组(就像用户一样)，我只需首先部署另一个“共享”堆栈。它将定义一个 IAM 组。系统 A 的 CF 堆栈会将 lambda 角色附加到该组，系统 B 会将策略附加到该组。但这是不可能的。

有没有人有类似情况的经验可以分享一些建议？

Answer 1

您可以在 IAM 策略中包含以下语句，但这将授予您的 lambda 函数更广泛的访问权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "apigateway:*"
      ],
      "Resource": [
        "arn:aws:apigateway:*::/*"
      ]
    }
  ]
}