amazon-web-services - 如何在 CloudFormation 模板中使用另一个 AWS 账户的 AssumeRole？

Question

我正在尝试计算 AWS CloudFormation 模板的逻辑流程，该模板将承担一个 IAM 角色，可以从另一个 AWS 账户的 S3 存储桶中提取文件。

到目前为止我所拥有的是:

1. 账户A有一个角色A
2. roleA 的政策允许 sts:AssumeRole 在 accountB :arn:aws:iam::11122233444:role/AllowPullS3 中使用角色
3. accountB 具有角色 (AllowPullS3)
4. 策略允许:s3 listBucket + get、put、delete
5. accountA 的信任关系:Action:"sts:AssumeRole"

如果我使用 IAM:roleA 手动创建 EC2 实例，然后使用 CLI 获取假定角色凭据，则我可以按预期从其他账户的 S3 存储桶中提取文件。

但是我需要在 accountA CF 模板中放置什么，才能允许 EC2 实例承担角色 B 并从 accountB S3 存储桶中提取文件作为形成的一部分？

我尝试遵循很多教程，例如 this cfn-iam:init tutorial但仍不能完全掌握什么去了哪里。

感谢您的建议。

艺术

Answer 1

不可能告诉 CloudFormation 承担另一个角色。

但是，如果您有可在 Amazon EC2 实例上运行的 CLI 脚本/命令，则只需将该脚本作为用户数据传递即可。该脚本将在您的实例启动时运行。用户数据可以在定义 EC2 实例的 CloudFormation 模板中传递。

参见:Running Commands on Your Linux Instance at Launch