amazon-web-services - 仅向属于堆栈一部分的资源授予 Cloudformation 权限

Question

在我的公司，我们的 CI/CD 管道只能通过假定的 IAM 角色连接到 AWS。我正在尝试锁定此角色，以便它只能更新属于堆栈的资源，以避免错误地更改由另一个团队管理的资源。

我在这里遇到了先有鸡还是先有蛋的情况。看来，为了创建一个角色来限制仅访问由我的堆栈创建的资源，我需要这些资源的 ID，这意味着需要创建堆栈。我可以使用管理员权限运行堆栈一次，然后提取资源 ID，然后将其放入 CI/CD，但这似乎达不到目的。

我的理想解决方案是能够创建一组权限，允许 CloudFormation 创建一组固定的资源类型，然后仅向作为堆栈一部分创建的那些资源授予附加权限。这可能吗？或者对于如何管理 CI/CD 权限有不同的理念吗？

Answer 1

让我困惑的是你想如何将资源“锁定”到特定的堆栈。不管怎样，试试这个:

拥有仅具有创建*权限的角色(您可能也需要描述*)。该角色用于创建新堆栈，因此它不可能干扰已创建的资源。

在您的 CloudFormation 模板中，创建一个对您的资源具有更新*/删除*权限的 IAM 角色。当您想要修改堆栈时调用此角色。也许将其命名为 !Sub ${AWS::StackName}-CfnRole。

您还需要为其指定保留删除策略，并在堆栈清理后手动将其删除。 https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-attribute-deletionpolicy.html 。否则，当您调用该角色来删除堆栈时，您将遇到权限被拒绝错误，因为该角色几乎肯定是第一个要删除的资源。

??这对你有用