amazon-web-services - AWS CloudFormation 模板

Question

我正在尝试了解以下政策

 Policies:
    - PolicyName: InstanceIAMPolicy
      PolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Action:
              - 'ssm:DescribeAssociation'
              - 'ssm:GetDeployablePatchSnapshotForInstance'
              - 'ssm:GetDocument'
              - 'ssm:GetManifest'
              - 'ssm:GetParameters'
              - 'ssm:ListInstanceAssociations'
              - 'ssm:PutComplianceItems'
              - 'ssm:PutConfigurePackageResult'
              - 'ssm:UpdateAssociationStatus'
              - 'ssm:UpdateInstanceAssociationStatus'
              - 'ssm:UpdateInstanceInformation'
            Resource: '*'
            Effect: Allow
            Action:
              - 'ec2messages:AcknowledgeMessage'
              - 'ec2messages:FailMessage'
              - 'ec2messages:GetEndpoint'
              - 'ec2messages:GetMessages'
              - 'ec2messages:SendReply'
            Resource: '*'

我的问题与*提到的资源参数有关。这是否意味着可以对 AWS 基础设施内的任何资源执行这些操作？我对 CloudFormation 模板和 AWS 非常陌生。感谢您的帮助。

Answer 1

简短的回答是肯定的。

在您的模板中，“语句”下有两个部分。每个部分都定义“允许”操作。对于每个部分，您都“允许”所有资源的 API。第一部分用于 SSM，第二部分用于 SSM EC2Messages。

注意:根据允许操作，您可以将这两个部分合并在一起。

此链接将帮助您使用 CloudFormation 模板:

Working with AWS CloudFormation Templates