amazon-web-services - 在 key 管理系统 (AWS) 的 cloudformation 模板中获取 root 以外的用户的 ARN)

Question

我目前正在为 KMS( key 管理服务)编写云形成模板(CFT)，我想向 root 以外的用户授予 key 管理权限和 key 使用权限。我希望通过 CFT 动态调用它。到目前为止，我可以授予 root 这些权限。以下是政策:

  {
                        "Sid": "Allow attachment of persistent resources",
                        "Effect": "Allow",
                        "Principal": {
                            "AWS": [
                                "arn:aws:iam::111122223333:user/KMSUser"
                                {
                                    "Fn::Join": [
                                        ":",
                                        [
                                            "arn:aws:iam:",
                                            {
                                                "Ref": "AWS::AccountId"
                                            },
                                            "root"
                                        ]
                                    ]
                                }
                            ]
                        },
                        "Action": [
                            "kms:CreateGrant",
                            "kms:ListGrants",
                            "kms:RevokeGrant"
                        ],
                        "Resource": "*",
                        "Condition": {
                            "Bool": {
                                "kms:GrantIsForAWSResource": true
                            }
                        }
                    }

如何动态获取 arn 和用户名？

Answer 1

您可以使用参数。

定义用户名参数

"Username": {
  "Description": "Username details",
  "Type": "String"
}

在角色名称定义中，指向参数，而不是将其硬编码为root。

"Fn::Join": [
    ":",
    [
        "arn:aws:iam:",
        {
            "Ref": "AWS::AccountId"
        },
        {
            "Ref": "Username"
        }
    ]
]