자체 관리형 권한 부여

이전 템플릿에서 생성한 관리 역할에는 다음 권한 정책이 포함됩니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole"
      ],
      "Resource": [
        "arn:aws:iam::*:role/AWSCloudFormationStackSetExecutionRole"
      ],
      "Effect": "Allow"
    }
  ]
}

이전 템플릿에는 서비스에 관리자 역할을 사용할 수 있는 권한과 역할에 연결된 권한을 부여하는 다음 신뢰 정책도 포함되어 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudformation.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

기본적으로 비활성화되어 있는 리전에 상주하는 대상 계정에 스택 인스턴스를 배포하려면 해당 리전의 리전 서비스 보안 주체도 포함해야 합니다. 기본적으로 비활성화된 각 리전에는 자체 리전 서비스 보안 주체가 있습니다.

다음 신뢰 정책 예제는 기본적으로 비활성화되어 있는 리전인 아시아 태평양(홍콩) 리전(ap-east-1)의 관리자 역할을 사용할 수 있는 권한을 서비스에 부여합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "cloudformation.amazonaws.com",
            "cloudformation.ap-east-1.amazonaws.com"
         ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

자세한 내용은 기본적으로 비활성화된 리전과 관련된 스택 세트 작업 수행 단원을 참조하십시오. 리전 코드 목록은 AWS 일반 참조 안내서의 리전 엔드포인트를 참조하세요.

이 템플릿에 의해 생성된 역할을 사용하면 대상 계정에 대해 다음 정책을 사용할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    }
  ]
}

다음 예는 스택 세트가 작동하기 위한 최소 권한이 포함된 정책 설명을 보여줍니다. 대상 계정에서 CloudFormation 이외의 서비스에서 리소스를 사용하는 스택을 생성하려면 각 대상 계정에 대한 AWSCloudFormationStackSetExecutionRole 정책 설명에 해당 서비스 작업 및 리소스를 추가해야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "cloudformation:*"
      ],
      "Resource": "*"
    }
  ]
}

다음 신뢰 관계는 템플릿에 의해 생성됩니다. 관리자 계정의 ID는 admin_account_id로 표시됩니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::admin_account_id:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

관리자 계정의 특정 역할을 신뢰하도록 기존 대상 계정 실행 역할의 신뢰 관계를 구성할 수 있습니다. 관리자 계정에서 역할을 삭제하고 대체할 새 역할을 생성하는 경우, 이전 예에서 admin_account_id로 표현된 새 관리자 계정 역할과의 대상 계정 신뢰 관계를 구성해야 합니다.

각 스택 세트에 대해 대상 계정 실행 역할을 수임할 수 있는 권한을 가진 사용자 지정 관리 역할을 생성합니다.

대상 계정 실행 역할 이름은 모든 대상 계정에서 동일해야 합니다. 역할 이름이 AWSCloudFormationStackSetExecutionRole인 경우 StackSets는 스택 세트를 생성할 때 이 역할을 자동으로 사용합니다. 사용자 지정 역할 이름을 지정하는 경우 사용자는 스택 세트를 생성할 때 실행 역할 이름을 제공해야 합니다.

사용자 지정 이름과 다음 권한 정책을 가진 IAM 서비스 역할을 생성합니다. 아래 예제에서 custom_execution_role은 대상 계정의 실행 역할을 의미합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole"
      ],
      "Resource": [
        "arn:aws:iam::target_account_id:role/custom_execution_role"
      ],
      "Effect": "Allow"
    }
  ]
}

단일 문에서 여러 계정을 지정하려면 다음과 같이 쉼표로 구분합니다.

"Resource": [
  "arn:aws:iam::target_account_id_1:role/custom_execution_role", 
  "arn:aws:iam::target_account_id_2:role/custom_execution_role"
]

계정 ID 대신 와일드카드(*)를 사용하여 모든 대상 계정을 지정할 수 있습니다.

"Resource": [
  "arn:aws:iam::*:role/custom_execution_role"
]

역할을 수임할 수 있는 IAM 보안 주체를 정의하려면 서비스 역할에 대한 신뢰 정책을 제공해야 합니다.

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
        "Service": "cloudformation.amazonaws.com" 
      }, 
      "Action": "sts:AssumeRole" 
    } 
  ] 
}

기본적으로 비활성화되어 있는 리전에 상주하는 대상 계정에 스택 인스턴스를 배포하려면 해당 리전의 리전 서비스 보안 주체도 포함해야 합니다. 기본적으로 비활성화된 각 리전에는 자체 리전 서비스 보안 주체가 있습니다.

다음 신뢰 정책 예제는 기본적으로 비활성화되어 있는 리전인 아시아 태평양(홍콩) 리전(ap-east-1)의 관리자 역할을 사용할 수 있는 권한을 서비스에 부여합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "cloudformation.amazonaws.com",
            "cloudformation.ap-east-1.amazonaws.com"
         ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

자세한 내용은 기본적으로 비활성화된 리전과 관련된 스택 세트 작업 수행 단원을 참조하십시오. 리전 코드 목록은 AWS 일반 참조 안내서의 리전 엔드포인트를 참조하세요.

사용자가 스택 세트 작업을 수행할 때 사용자 지정 관리 역할 전달을 허용하는 IAM 사용자에 대한 IAM 권한 정책도 필요합니다. 자세한 내용은 사용자에게 AWS 서비스 역할을 전달할 수 있는 권한 부여를 참조하세요.

아래 예제에서 customized_admin_role은 사용자가 전달해야 하는 관리 역할을 의미합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::*:role/customized_admin_role"
    }
  ]
}

다음 예는 스택 세트가 작동하기 위한 최소 권한이 포함된 정책 설명을 보여줍니다. 대상 계정에서 CloudFormation 이외의 서비스에서 리소스를 사용하는 스택을 생성하려면 권한 정책에 해당 서비스 작업 및 리소스를 추가해야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:*"
      ],
      "Resource": "*"
    }
  ]
}

신뢰 관계를 정의하기 위해서는 역할을 생성할 때 다음과 같은 신뢰 정책을 제공해야 합니다.

{
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
      "AWS": "arn:aws:iam::admin_account_id:role/customized_admin_role" 
      }, 
      "Action": "sts:AssumeRole"
    } 
  ] 
} 

다음 예제는 사용자 지정 실행 역할은 물론 대상 계정에 대해 정의된 AWSCloudFormationStackSetExecutionRole 모두에 대한 권한 정책입니다.

{
  "Version": "2012-10-17",
   "Statement": [
    {
      "Sid": "Stmt1487980684000",
      "Effect": "Allow",
      "Action": [
        "sts:AssumeRole" 
      ],
      "Resource": [ 
        "arn:aws:iam::*:role/AWSCloudFormationStackSetExecutionRole",
        "arn:aws:iam::*:role/custom_execution_role" 
      ]
    } 
  ]
}

다음 예제는 Amazon DynamoDB 테이블 생성 권한이 포함된 스택 세트에 대한 최소 권한을 제공합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "dynamoDb:createTable"
      ],
      "Resource": "*"
    }
  ]
}

신뢰 관계를 정의하기 위해서는 역할을 생성할 때 다음과 같은 신뢰 정책을 제공해야 합니다.

{
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
      "AWS": "arn:aws:iam::admin_account_id:role/customized_admin_role" 
      }, 
      "Action": "sts:AssumeRole"
    } 
  ] 
} 

StackSets를 사용할 때 AWSCloudFormationStackSetAdministrationRole 신뢰 정책에 전역 키 aws:SourceAccount 및 aws:SourceArn을 정의하여 혼동된 대리자 문제를 방지합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudformation.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:cloudformation:*:111122223333:stackset/*"
        }
      }
    }
  ]
}

더 세밀하게 제어할 수 있도록 연결된 StackSets ARN을 지정합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudformation.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333",
          "aws:SourceArn": [
            "arn:aws:cloudformation:STACKSETS-REGION:111122223333:stackset/STACK-SET-ID-1",
            "arn:aws:cloudformation:STACKSETS-REGION:111122223333:stackset/STACK-SET-ID-2",
          ]
        }
      }
    }
  ]
}