在执行cdk-pipelines期间会创建一些新角色。如何强制将权限边界附加到这些新创建的角色? 背景:我们的AWS账户只允许创建具有特定权限边界的角色。如果未指定权限边界,则角色创建将失败。 我的CDK项目在尝试在管道中创建新角色时失败。 API: iam:CreateRole User: arn:aws:sts::305326993135:assumed-role/cdk-hnb659fds-cfn-exec-role-305326993135-ap-southeast-1/AWSCloudFormation is not authorized to perform: iam:Creat
对于小型CloudFormation和CodePipeline模板,我们可以“尝试-测试”以获得针对所需角色的最小特权IAM策略。
这通常涉及:
从最低限度的政策开始
创建堆栈
它失败了-堆栈不具有某些服务的权限:某些操作
将服务操作添加到策略中
更新堆栈,然后重试
对于较大的CloudFormation模板来说,这种方法太费时了。
您如何开发最小特权IAM策略?
想法:
允许"*“然后为事件抓取cloudtrail,并为列出的事件构建映射到它们的等效角色,然后将角色缩减为只列出在cloudtrail日志中的角色。
- If you can is