如何确定AWS CloudFormation需要哪些IAM权限？

Question

我想使用CloudFormation.package和deploy功能,但我如何确定运行这些权限所需的IAM权限？

通常,如何确定需要哪些权限？

Answer 1

基于您将其用于 Lambda 的事实，我猜测这与您的其他问题CloudFormation to setup CodePipeline/CodeBuild to deploy SAM application相关。

在回答该问题时，我引用了示例 CloudFormation 模板。如果您查看该示例中的CloudFormationServicePolicy，您可能会找到您需要的一切。

对于这个具体问题的答案，有两个部分

要打包，您需要：

• 部署工件存储桶 ( ArtifactBucket)
• s3:PutObject用户的权限ArtifactBucket

部署更难回答。在上面引用的CloudFormationServicePolicy中，您可以找到我们与 CloudFormation 一起使用来部署函数的完整权限集。至少，您需要：

• iam:PassRole（假设您正在传递现有角色）
• lambda:CreateFunction
• lambda:UpdateFunctionCode
• lambda:UpdateFunctionConfiguration
• lambda:AddPermission
• lambda:GetEventSourceMapping
• lambda:CreateEventSourceMapping
• lambda:DeleteEventSourceMapping

如果您通过控制台进行部署，您可能还需要：

• iam:GetRole
• iam:ListRole
• lambda:GetFunction
• lambda:GetFunctionConfiguration