为 cloudformation 堆栈部署生成权限

Question

我有 CloudFormation 堆栈，它经常由脚本更新（更改启动配置的源 AMI）。我希望它由相同的脚本部署，由非特权用户/实例角色执行。目前所有更新都是由管理员用户完成的，拥有比需要更多的权限。

我最初的方法是尝试和失败，在日志中查看缺少哪些权限并一一添加。需要很多时间，而且远没有成效。

我认为应该有一种方法可以根据 CloudFormation 模板生成权限列表，以及更新堆栈本身的权限。

我的第二个想法是处理成功部署的 CloudTrail 日志以从中提取操作和资源。

可能已经有一种方法可以做到这一点，而我正在重新：投资轮子？

Answer 1

好的，经过与 AWS 的反复讨论，他们终于发布了 IAM 解决方案：访问分析器，它有助于生成策略和权限。我认为这是目前最好的情况。