amazon-web-services - 通过 Cloudformation 创建 AWS 角色时出现 LimitExceeded 错误

Question

我正在尝试在 Cloudformation 中构建 CodeBuild 模板。我需要添加一个角色以允许它执行所需的操作。我创建了以下角色(通过 AWS 文档找到的规则):

 "CodeBuildServiceRole": {
        "Type": "AWS::IAM::Role",
        "Properties": {
            "AssumeRolePolicyDocument": {
                "Version": "2012-10-17",
                "Statement": [
                    {
                        "Action": [
                            "codebuild:*",
                            "codecommit:GetBranch",
                            "codecommit:GetCommit",
                            "codecommit:GetRepository",
                            "codecommit:ListBranches",
                            "codecommit:ListRepositories",
                            "cloudwatch:GetMetricStatistics",
                            "ec2:DescribeVpcs",
                            "ec2:DescribeSecurityGroups",
                            "ec2:DescribeSubnets",
                            "ecr:DescribeRepositories",
                            "ecr:ListImages",
                            "elasticfilesystem:DescribeFileSystems",
                            "events:DeleteRule",
                            "events:DescribeRule",
                            "events:DisableRule",
                            "events:EnableRule",
                            "events:ListTargetsByRule",
                            "events:ListRuleNamesByTarget",
                            "events:PutRule",
                            "events:PutTargets",
                            "events:RemoveTargets",
                            "logs:GetLogEvents",
                            "s3:GetBucketLocation",
                            "s3:ListAllMyBuckets"
                        ],
                        "Effect": "Allow",
                        "Resource": "*"
                    },
                    {
                        "Action": [
                            "logs:DeleteLogGroup"
                        ],
                        "Effect": "Allow",
                        "Resource": "arn:aws:logs:*:*:log-group:/aws/codebuild/*:log-stream:*"
                    },
                    {
                        "Effect": "Allow",
                        "Action": [
                            "ssm:PutParameter"
                        ],
                        "Resource": "arn:aws:ssm:*:*:parameter/CodeBuild/*"
                    },
                    {
                        "Effect": "Allow",
                        "Action": [
                            "ssm:StartSession"
                        ],
                        "Resource": "arn:aws:ecs:*:*:task/*/*"
                    }, ....
                ]
            }
        }

(请注意，StackOverflow 不允许我将整个角色放在这里，实际上还有 7 个其他语句，其中包含 3 或 4 个操作)

但是当运行 CF 堆栈时，我收到以下错误:

Cannot exceed quota for ACLSizePerRole: 2048 (Service: AmazonIdentityManagement; Status Code: 409; Error Code: LimitExceeded; 

我在这里做错了什么？

Answer 1

您的政策放错了地方。您试图将所有这些内容指定为 AssumeRolePolicyDocument 的一部分，这是存储允许承担角色的配置的位置，而不是存储配置的位置角色被允许做。

要指定允许角色执行的操作，请使用专用策略，然后指定它们，例如Policies内属性(property)。请注意，此类策略也有长度限制。您可以通过将一个大型策略拆分为多个策略来解决此问题，但策略的数量也有限制。在某些时候，您需要重新考虑如何授予权限，并且需要优化您的语句。