amazon-web-services - 调用CreateStack操作时发生错误(AccessDenied): Cross-account pass role is not allowed

Question

这看起来很简单。我有一个帐户，但在尝试运行 Cloud Formation 堆栈时收到“不允许跨帐户传递角色”错误。

我正在使用本指南: https://github.com/aws-samples/amazon-eks-refarch-cloudformation

我只花了几个星期的时间来处理 custom.mk(网络、ec2 类型等)。

为了创建集群，根据自述文件，我在终端中运行此命令，并且我的 IAM 用户帐户位于“admin”组中，具有对 CloudFormation 的完全访问权限:ASGAutoAssignPublicIp=no make create-eks-cluster

这是错误:调用CreateStack操作时发生错误(AccessDenied):不允许跨账户传递角色。 make: *** [create-eks-cluster] 错误 254

查看Makefile，它是使用这个获取帐户的:aws sts get-caller-identity --query 'Account' --output text

当我从同一终端运行该命令时，它工作正常——显示我的帐户#。

有人可以建议我在这里尝试什么吗？

Answer 1

验证您是否正在传递在 custom.mk 中创建的 EKS 角色 (AmazonEKSAdminRole) 的 ARN

您根本不需要执行跨帐户角色传递，但 Makefile 会传递默认的 EKS_ADMIN_ROLE here .

用于部署这些堆栈的角色是 EKS_ADMIN_ROLE，因此，如果您尝试使用默认角色(在 accountId 903779448426 内)，则该角色隐式无权访问您的 AWS 账户，因此无法创建堆栈在您的帐户中。