amazon-web-services - 为什么 Amazon 建议在 AWS IAM 资源名称中包含区域？

Question

IAM 资源是全局性的，这意味着它们在特定的 AWS 区域内不是孤立的。但是，IAM 角色的文档包括 warning :

Important

Naming an IAM resource can cause an unrecoverable error if you reuse the same template in multiple regions. To prevent this, we recommend using FN::Join and AWS::Region to create a region-specific name, as in the following example ...

他们在谈论什么样的“不可恢复的错误”？ cloudformation 会无法创建资源，还是会陷入某种奇怪的状态？

我们拥有的包含 IAM 资源的堆栈仅包含 IAM 资源，因此我怀疑我也许可以忽略此警告。

Answer 1

他们希望您注意的问题是 IAM 是一个全局命名空间，如果您不手动命名空间资源，这可能会导致问题。

这是一个例子:

• eu-central-1 中的堆栈 1 创建一个名为 AppAdmin 的角色
• eu-west-1 中的堆栈 2 创建一个名为 AppAdmin 的角色 - 此堆栈将无法创建或更新

这种失败通常不会危及生命，它只是意味着您的部署将被破坏。如果是现有堆栈的更新，则会执行回滚。如果是新的堆栈，该堆栈将无法创建，之后需要手动删除该堆栈，然后才能再次转出(默认情况下，孤立资源将被删除)。

您可以通过按照建议命名资源来简单地避免此问题:

• eu-central-1 中的堆栈 1 创建一个名为 AppAdmin-eu-central-1 的角色
• eu-west-1 中的堆栈 2 创建一个名为 AppAdmin-eu-west-1 的角色

现在大家都很高兴!

(对于 S3 存储桶名称和具有全局命名空间的其他资源也是如此)