0

下記のコードでCloudFormationでIAMグループを作成しました。
${aws:username}は、下記のリンクのIAM ポリシーエレメントのポリシー変数に使用可能なリクエスト情報を使いました。

AWS AccountIdの部分もリテラルではなく変数を使う方法はないでしょうか。

下記は試してみましたがいずれもだめでした。

Resource: "arn:aws:iam::${aws:userid}:user/${aws:username}"
ポリシー変数は、IAMユーザは、AWSアカウントではなく一意IDが返されるからかもしれませんが、確認方法がわかりませんでした。

Resource: !Sub "arn:aws:iam::${AWS::AccountId}:user/${aws:username}"
ClodFormationの疑似パラメータを使いましたが、ポリシー変数と同じ${}表記なので、エラーになりました。

Type: "AWS::IAM::Group"
Properties:
  GroupName: "Users"
  Policies:
    - PolicyName: group-user-policy
      PolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Action:
              - "iam:GetAccountPasswordPolicy"
            Resource: "*"
          - Effect: Allow
            Action:
              - "iam:ChangePassword"
            Resource: !Sub "arn:aws:iam::1234567890:user/${aws:username}"

1 件の回答 1

1

CloudFormationのFn::Join関数を用いると可能かと思われます。

cfn-iam-group.yml

AWSTemplateFormatVersion: "2010-09-09"
Description: A sample template
Parameters:
  IAMUserArn:
    Type: String
    Default: arn:aws:iam::1234567890:user/user-name

Resources:
  IAMGroup:
    Type: "AWS::IAM::Group"
    Properties:
      GroupName: "Users"
      Policies:
        - PolicyName: group-user-policy
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action:
                  - "iam:GetAccountPasswordPolicy"
                Resource: "*"
              - Effect: Allow
                Action:
                  - "iam:ChangePassword"
                Resource: !Join
                  - ''
                  - - 'arn:aws:iam::'
                    - !Sub "${AWS::AccountId}:"
                    - 'user/${aws:username}'
aws cloudformation deploy
    --template-file ./cfn-iam-group.yml 
    --stack-name cfn-iam-group 
    --capabilities CAPABILITY_NAMED_IAM 
    --parameter-overrides IAMUserArn="arn:aws:iam::1234567890:user/user-name"
  • Fn::Join関数で与えられた文字列配列を連結
  • 配列の要素にFn::Sub関数を用いて擬似パラメータAWS::AccountIdを参照

IAM Groupが作成され、以下のようなポリシーがアタッチされていることが確認できました。

IAM Group Policy

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。