使用 AWS Identity and Access Management 控制 CloudFormation 访问权限

通过 AWS Identity and Access Management (IAM)，您可以创建 IAM 用户并控制他们对 AWS 账户 中特定资源的访问。使用 IAM 时，您可以控制用户对 CloudFormation 执行的操作，例如，是否可以查看堆栈模板、创建堆栈或删除堆栈。

除了 CloudFormation 特定的操作之外，您还可以管理每个用户可以使用哪些 AWS 服务和资源。这样您可以控制用户在使用 CloudFormation 时可访问的具体资源。例如，您可以指定哪些用户可以创建 Amazon EC2 实例、终止数据库实例或更新 VPC。这些权限在他们使用 CloudFormation 执行这些操作时同样适用。

使用以下各节中的信息来控制谁可以访问 CloudFormation。我们还将探讨如何在模板中授权 IAM 资源创建，为 EC2 实例上运行的应用程序提供所需的权限，以及如何使用临时安全凭证来增强您 AWS 环境的安全性。

为 CloudFormation 定义基于 IAM 身份的策略

要访问 CloudFormation，您需要创建和分配 IAM 策略，赋予 IAM 身份（如用户或角色）调用所需 API 操作的权限。

通过使用 IAM 基于身份的策略，可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。CloudFormation 支持特定的操作、资源和条件秘钥。

如果您刚接触 IAM ，则需要先熟悉 IAM JSON 策略的要素。有关更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素参考。要了解如何创建 IAM 策略，请完成 IAM 文档中的教程创建并附加您的第一个客户管理型策略。

CloudFormation 的策略操作

在 IAM 策略语句的 Action 要素中，您可以指定 CloudFormation 所提供的任意 API 操作。您必须在操作名称前加上小写字符串 cloudformation:。例如：cloudformation:CreateStack、cloudformation:CreateChangeSet 和 cloudformation:UpdateStack。

要在单个语句中指定多个操作，请使用逗号分隔，如下所示：

"Action": [ "cloudformation:action1", "cloudformation:action2" ]

您也可以使用通配符指定多项操作。例如，您可以指定名称以单词 Get 开头的所有操作，如下所示：

"Action": "cloudformation:Get*"

要查看与 cloudformation 服务前缀相关的操作的完整列表，请参阅《服务授权参考》中 AWS CloudFormation 的操作、资源和条件密钥以及 AWS 云端控制 API 的操作、资源和条件密钥。

示例

以下内容介绍了授予查看 CloudFormation 堆栈权限的权限策略示例。

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Allow",
        "Action":[
            "cloudformation:DescribeStacks",
            "cloudformation:DescribeStackEvents",
            "cloudformation:DescribeStackResource",
            "cloudformation:DescribeStackResources"
        ],
        "Resource":"*"
    }]
}

创建或删除堆栈的用户需要根据其堆栈模板获得额外权限。例如，如果您的模板描述了 Amazon SQS 队列，则用户必须同时拥有 CloudFormation 和 Amazon SQS 操作的权限，如以下策略示例所示。

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Allow",
        "Action":[
            "sqs:*",
            "cloudformation:CreateStack",
            "cloudformation:DescribeStacks",
            "cloudformation:DescribeStackEvents",
            "cloudformation:DescribeStackResources",
            "cloudformation:GetTemplate",
            "cloudformation:ValidateTemplate"  
        ],
        "Resource":"*"
    }]
}

CloudFormation 的控制台特定操作

除了 AWS Command Line Interface 或 CloudFormation API 所需的权限外，CloudFormation 控制台的用户还需要额外的权限。这些权限支持特定于控制台的功能，例如将模板上传到 Amazon S3 存储桶以及 AWS 特定参数类型的下拉列表。

对于下面列出的所有操作，请向所有资源授予权限；不要将其限制于特定的堆栈或存储桶。

以下操作仅可通过 CloudFormation 控制台使用，未记录在 API 参考中。该操作允许用户将模板上传到 Amazon S3 存储桶。

当用户上传模板时，还需要以下 Amazon S3 权限：

要查看具有 AWS 特定参数类型的模板的参数下拉列表中的值，用户需要有进行对应的描述 API 调用的权限。例如，在模板中使用这些参数类型时需要以下权限：

有关 AWS 特定类型的更多信息，请参阅 使用 CloudFormation 提供的参数类型在运行时指定现有资源。

CloudFormation 的策略资源

在 IAM policy 声明中，Resource 元素指定了该声明涵盖的一个或多个对象。对于 CloudFormation，每个 IAM 策略语句适用于您使用 Amazon 资源名称 (ARN) 指定的资源。具体 ARN 格式取决于资源。

有关 CloudFormation 资源类型及其 ARN 的完整列表，请参阅服务授权参考中 AWS CloudFormation 定义的资源类型。要了解您可以通过每个资源的 ARN 指定哪些操作，请参阅 AWS CloudFormation 定义的操作。

如以下策略示例所示，您可以为特定堆栈指定操作。当您提供 ARN 时，请将 placeholder text 替换为特定于资源的信息。

{
    "Version":"2012-10-17",
    "Statement":[{
        "Effect":"Deny",
        "Action":[
            "cloudformation:DeleteStack",
            "cloudformation:UpdateStack"
        ],
        "Resource":"arn:aws:cloudformation:region:account-id:stack/MyProductionStack/*"
    }]
}

上述策略在堆栈名称末尾使用了一个通配符，因此删除堆栈和更新堆栈都会被拒绝，无论是整个堆栈 ID（如 arn:aws:cloudformation:region:account-id:stack/MyProductionStack/abc9dbf0-43c2-11e3-a6e8-50fa526be49c）还是堆栈名称（如 MyProductionStack）。

要允许 AWS::Serverless 转换创建变更集，请包含 arn:aws:cloudformation:region:aws:transform/Serverless-2016-10-31 资源级权限，如以下策略所示。

 {
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "cloudformation:CreateChangeSet"
        ],
        "Resource": "arn:aws:cloudformation:region:aws:transform/Serverless-2016-10-31"
    }]
}

CloudFormation 的策略条件键

在 IAM 策略语句中，您可以选择性地指定控制策略生效时间的条件。例如，您可以定义一条策略，使用户只能在指定了特定的模板 URL 时才能创建堆栈。您可以定义特定于 CloudFormation 的条件和 AWS 范围的条件，例如指定策略停止生效的时间的 DateLessThan 条件。有关 AWS 范围条件列表的更多信息，请参阅《IAM 用户指南》中 IAM 策略元素参考中的“条件”。

以下列表介绍特定于 CloudFormation 的条件。这些条件仅在用户创建或更新堆栈时应用：

有关使用条件密钥控制访问的 IAM 策略示例，请参阅 CloudFormation 基于 IAM 身份的策略示例。

确认 CloudFormation 模板中的 IAM 资源

在创建堆栈之前，CloudFormation 会验证您的模板。在验证期间，CloudFormation 会检查模板中可能创建的 IAM 资源。IAM 资源（如具有完全访问权限的 IAM 用户）可以访问和修改您的 AWS 账户 中的任何资源。因此，建议您在继续之前检查与每个 IAM 资源关联的权限，以便您不会无意中创建具有升级权限的资源。为了确保您已执行此操作，您必须确认模板包含这些资源，从而在 CloudFormation 创建堆栈之前为其提供指定功能。

您可以使用 CloudFormation 控制台、AWS Command Line Interface（AWS CLI）或 API 来确认 CloudFormation 模板的功能：

管理 Amazon EC2 实例上运行的应用程序的凭证

如果您有应用程序在 Amazon EC2 实例上运行，并且需要向 AWS 资源（如 Amazon S3 桶或 DynamoDB 表）发出请求，则应用程序会要求提供 AWS 安全证书。但是，在启动的每个实例中分配并嵌入长期安全凭证非常困难，而且存在潜在安全风险。建议您创建在启动 Amazon EC2 实例时与该实例关联的 IAM 角色，而不是使用长期凭证，如 IAM 用户凭证。然后，应用程序可以从 Amazon EC2 实例获取临时安全凭证。您不必在实例上嵌入长期凭证。此外，为简化凭证管理工作，您可以为多个 Amazon EC2 实例指定一个角色；无需为每个实例创建唯一凭证。

有关演示如何使用角色启动实例的模板代码段，请参阅 IAM 角色模板示例。

授予临时访问权限（联合访问）

在某些情况下，您可能希望授予没有 AWS 凭证的用户对您的 AWS 账户 的临时访问权限。您可以使用 AWS Security Token Service (AWS STS)，而不必在每次授予临时访问权限时创建和删除长期证书。例如，您可以使用 IAM 角色。通过一个 IAM 角色，您可以通过编程方式创建并分配很多临时安全凭证 (包括访问密钥、秘密访问密钥和安全令牌)。这些凭证的有效期有限，因此过期后不能用于访问您的 AWS 账户。您也可以创建多个 IAM 角色，向每个用户授予不同级别的权限。IAM 角色对于联合身份和单点登录等情况非常有用。

联合身份是可以跨多个系统使用的独特身份。对于已建立本地身份系统 (如 LDAP 或 Active Directory) 的企业用户，可以使用本地身份系统处理所有身份验证。在对用户进行身份验证后，您可从相应的 IAM 用户或角色提供临时安全凭证。例如，您可以创建一个管理员角色和一个开发人员角色，其中管理员对 AWS 账户拥有完全访问权限，而开发人员只拥有使用 CloudFormation 堆栈的权限。经过身份验证后，管理员有权获取管理员角色的临时安全凭证。而开发人员只能获取开发人员角色的临时安全凭证。

您还可以授予联合用户对 AWS Management Console的访问权限。使用本地身份系统对用户进行身份验证后，您可以通过编程来构造一个临时 URL 以提供对 AWS Management Console的直接访问。用户使用临时 URL 时无需登录 AWS，因为他们已经过身份验证（单一登录）。此外，因为 URL 是从用户的临时安全凭证构造的，所以通过这些凭证提供的权限可确定用户在 AWS Management Console中拥有的权限。

您可使用多种不同的 AWS STS API 来生成临时安全凭证。有关使用哪个 API 的更多信息，请参阅《IAM 用户指南》中的 比较 AWS STS 凭证。

CloudFormation 会与多种其他 AWS 服务交互。将临时安全凭证用于 CloudFormation 时，请确认要使用的所有服务都支持临时安全凭证。有关接受临时安全凭证的服务列表，请参阅 IAM 用户指南中的使用 IAM 的 AWS 服务。

有关更多信息，请参阅《IAM 用户指南》中的以下相关资源：