如何在AWS SAM中实现类似Terraform的IAM IaC审批机制？

可以实现类似Terraform的IAM模块审批机制，以下是几种可行的方案：

• 拆分SAM模板，隔离IAM资源到嵌套栈
  将所有IAM相关资源（如AWS::IAM::Role、AWS::IAM::Policy等）单独抽离到一个独立的SAM模板文件中，通过AWS::CloudFormation::Stack将其作为嵌套栈引入主SAM模板。这样只有当这个IAM嵌套栈的模板文件发生变更时，才需要触发IAM团队的审核流程，主模板中业务逻辑部分的变更不会牵连IAM审核。
  示例代码片段：

  AWSTemplateFormatVersion: '2010-09-09'
  Transform: AWS::Serverless-2016-10-31
  Resources:
    IAMResourcesStack:
      Type: AWS::CloudFormation::Stack
      Properties:
        TemplateURL: ./iam-resources.yaml
  

• 在CI/CD流水线中添加变更检测逻辑
  借助Git或CI/CD工具的变更检测能力，只在检测到IAM相关SAM文件发生修改时，才触发IAM团队的审批环节。若仅业务代码或非IAM资源的SAM配置变更，则直接跳过IAM审核步骤。
  核心逻辑：用Git命令对比提交差异，筛选出IAM相关文件路径，若存在变更则调用审批流程（如发起IAM团队的审批工单），否则继续部署流程。

• 自定义内部维护的IAM策略模板
  弃用亚马逊管理的SAM策略模板，自行维护一套内部可控的IAM策略模板库，将其放在独立的版本控制仓库中。当需要更新策略内容时，必须提交变更到该仓库并触发IAM团队的审核，审核通过后才能在SAM模板中引用更新后的策略。这种方式能让IAM团队实时掌控所有IAM策略的变更情况。

内容的提问来源于stack exchange，提问作者Eric Scherrer