1

Cloudformationを使ってリソースの作成を行っています。
ここで作成したリソースをIAM RoleのResourceに指定したいのですが、どのように指定すれば良いのでしょうか?

"Stream": {
   "Type" : "AWS::Kinesis::Stream",
   "Properties" : {
      "ShardCount" : "1"
   }
},
"Queue": {
   "Type": "AWS::SQS::Queue"
},
"IAMRole": {
  "Type": "AWS::IAM::Role",
  "Properties": {
    "AssumeRolePolicyDocument": {
      "Version": "2012-10-17",
      "Statement": [{
        "Sid": "",
        "Effect": "Allow",
        "Principal": {
          "Service": "lambda.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }]
    },
    "Path": "/",
    "Policies": [{
      "PolicyName": "lambda_exec_role",
      "PolicyDocument": {
        "Version":"2012-10-17",
        "Statement":[
          {
            "Effect": "Allow",
            "Action": [
              "logs:CreateLogGroup",
              "logs:CreateLogStream",
              "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:*"
          },
          {
            "Effect": "Allow",
            "Action": [
              "kinesis:Get*",
              "kinesis:List*",
              "kinesis:Describe*"
            ],
            "Resource": "*" // <- 作成したKinesisのStreamを指定したい
          },
          {
            "Action": [
              "sqs:GetQueueAttributes",
              "sqs:ListQueues"
            ],
            "Effect": "Allow",
            "Resource": "*" // <- 作成したSQSのQueueを指定したい
          }
        ]
      }
    }]
  }
}

どうぞ、よろしくお願いします。

1 件の回答 1

3

自己解決しました。
KinesisのようにArnのサポートがない場合は下記のようにFn::JoinでArnの文字列を生成することでResourceの指定ができました。

"Resource":[{
  "Fn::Join": [":", [
    "arn:aws:kinesis",
    { "Ref" : "AWS::Region" },
    { "Ref" : "AWS::AccountId" },
    { "Fn::Join": [ "/", ["stream", { "Ref": "LambdaSqsConsumerStream" } ] ] } 
  ]]
}]

SQSのようにArnのサポートがある場合は下記のようにFn::GetAttでResourceに指定ができます。

"Resource": [
  { "Fn::GetAtt": ["LambdaSqsConsumerQueue", "Arn"] }
]

Fn::Joinで作成した場合はArnの文字列構成が変わった場合に対応できなさそうですが、そうそう変わることはない気がするので、これで良さそうです。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。