我有 CloudFormation 堆栈，它经常由脚本更新（更改启动配置的源 AMI）。我希望它由相同的脚本部署，由非特权用户/实例角色执行。目前所有更新都是由管理员用户完成的，拥有比需要更多的权限。
我最初的方法是尝试和失败，在日志中查看缺少哪些权限并一一添加。需要很多时间，而且远没有成效。
我认为应该有一种方法可以根据 CloudFormation 模板生成权限列表，以及更新堆栈本身的权限。
我的第二个想法是处理成功部署的 CloudTrail 日志以从中提取操作和资源。
可能已经有一种方法可以做到这一点，而我正在重新：投资轮子？
security amazon-web-services amazon-cloudformation amazon-iam
我的任务是创建供公司使用的证书颁发机构。最好使用“有效”（非自签名）证书。目标是为子域颁发单独的证书，而不是通配符，以及通配符证书、用户、服务等未涵盖的子子域。
所有这些可能仅限于单个域。
据我了解，我需要像这样具有某些功能的有效证书 Key Cert Sign, CRL Sign。
这是真的吗，有人可以向我指出可以向我出售那种证书的文档和 SSL 提供商吗？
谢谢。
更新：感谢您的评论：那么我可能需要重新表述我的问题，为服务和用户颁发公开有效的证书需要什么？有一些网站颁发用户证书，例如https://www.comodo.com/home/email-security/free-email-certificate.php。但我不想依赖公共和免费服务供公司使用，而宁愿使用稳定可靠的服务。