CodePipeline服务角色需iam:PassRole权限的原因及安全疑问

我在查看CodePipeline创建服务角色的说明时，对RolePolicy.json中以下权限配置存在疑问：

{
  "Effect": "Allow",
  "Action": [
     "iam:PassRole"
   ],
   "Resource": "*"
}

我已了解iam:PassRole的通用作用，但不清楚CodePipeline为何特别需要该权限，以下是具体问题及解答：

1. 在此场景下，主体、涉及的角色以及目标服务分别是什么？ #

• 主体：CodePipeline服务本身——该权限附着在CodePipeline的专属服务角色上，授权CodePipeline执行iam:PassRole操作。
• 涉及的角色：你为CodePipeline各阶段配置的执行角色——比如当Pipeline需要调用CodeBuild、CloudFormation、Lambda等服务时，你为这些阶段指定的角色，CodePipeline需要将这类角色传递给对应服务。
• 目标服务：Pipeline各阶段依赖的AWS服务，例如CodeBuild、CloudFormation、Lambda、ECS等，这些服务需要通过指定的角色来完成任务执行。

2. 使用"Resource": "*"是否存在安全隐患？ #

• 直接设置"Resource": "*"确实有安全风险：这意味着CodePipeline可以将任意IAM角色传递给其他服务，若Pipeline配置被篡改或滥用，可能导致其他服务获取超出预期的权限，引发安全问题。
• 最佳实践是将Resource字段限定为Pipeline实际需要用到的执行角色ARN，例如：

  "Resource": [
    "arn:aws:iam::123456789012:role/MyCodeBuildExecutionRole",
    "arn:aws:iam::123456789012:role/MyCloudFormationDeploymentRole"
  ]
  

  这样能严格限制iam:PassRole的权限范围，降低安全风险。

内容的提问来源于stack exchange，提问作者fade2black