CDK Python中如何为IAM角色指定特定账号下的资源？

你当前使用的service-role/AmazonECSTaskExecutionRolePolicy是AWS预定义的托管策略，其中多数权限的资源配置为*，适配通用场景。要限定资源到特定账号的指定资源，你需要替换该托管策略，自定义权限规则，具体操作如下：

1. 明确原托管策略的核心权限动作 #

先梳理该托管策略包含的Fargate任务执行必需权限：

• CloudWatch Logs：创建日志流、推送日志事件（logs:CreateLogStream、logs:PutLogEvents）
• ECR：镜像拉取相关操作（ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability）
• KMS（若使用加密）：解密镜像仓库或日志的密钥（kms:Decrypt）

2. 自定义内联策略并限定资源 #

在CDK中直接创建内联策略，将每个权限动作绑定到特定账号的资源ARN。以下是完整代码示例：

# 替换为你的实际账号ID和资源名称
ACCOUNT_ID = "123456789012"
LOG_GROUP_NAME = "/ecs/gitlab-tasks"
ECR_REPO_NAME = "gitlab-runner-image"
ECS_CLUSTER_NAME = "gitlab-cluster"
ECS_TASK_FAMILY = "gitlab-task-family"

# 定义自定义内联策略
self.fargate_execution_role_policies = iam.PolicyDocument(
    statements=[
        # CloudWatch Logs权限：限定到指定日志组
        iam.PolicyStatement(
            actions=["logs:CreateLogStream", "logs:PutLogEvents"],
            resources=[
                f"arn:aws:logs:${{AWS::Region}}:{ACCOUNT_ID}:log-group:{LOG_GROUP_NAME}:*",
                f"arn:aws:logs:${{AWS::Region}}:{ACCOUNT_ID}:log-group:{LOG_GROUP_NAME}"
            ],
            effect=iam.Effect.ALLOW
        ),
        # ECR镜像拉取权限：限定到指定仓库
        iam.PolicyStatement(
            actions=["ecr:GetDownloadUrlForLayer", "ecr:BatchGetImage", "ecr:BatchCheckLayerAvailability"],
            resources=[f"arn:aws:ecr:${{AWS::Region}}:{ACCOUNT_ID}:repository/{ECR_REPO_NAME}"],
            effect=iam.Effect.ALLOW
        ),
        # ECR授权令牌：该动作资源只能为*（AWS规则）
        iam.PolicyStatement(
            actions=["ecr:GetAuthorizationToken"],
            resources=["*"],
            effect=iam.Effect.ALLOW
        ),
        # 可选：KMS加密资源权限（若使用）
        iam.PolicyStatement(
            actions=["kms:Decrypt"],
            resources=[f"arn:aws:kms:${{AWS::Region}}:{ACCOUNT_ID}:key/your-kms-key-id"],
            effect=iam.Effect.ALLOW
        ),
        # 可选：ECS任务相关权限（按需添加）
        iam.PolicyStatement(
            actions=["ecs:RegisterTaskDefinition", "ecs:RunTask"],
            resources=[
                f"arn:aws:ecs:${{AWS::Region}}:{ACCOUNT_ID}:cluster/{ECS_CLUSTER_NAME}",
                f"arn:aws:ecs:${{AWS::Region}}:{ACCOUNT_ID}:task-definition/{ECS_TASK_FAMILY}:*"
            ],
            effect=iam.Effect.ALLOW
        )
    ]
)

# 创建Fargate执行角色（移除原托管策略，使用自定义内联策略）
self.fargate_execution_role = iam.Role(
    self,
    "GitlabExecutionRole",
    assumed_by=iam.ServicePrincipal("ecs-tasks.amazonaws.com"),
    inline_policies={"GitlabExecutionCustomPolicy": self.fargate_execution_role_policies}
)

3. 关键注意事项 #

• ecr:GetAuthorizationToken动作的资源只能设为*，属于AWS固定规则，无法限定。
• 资源ARN中的${AWS::Region}是CDK动态变量，会自动替换为部署区域，也可直接写死指定区域（如us-east-1）。
• 若需覆盖多个同类型资源（如多个ECR仓库），可在resources列表中添加对应ARN。
• 若权限需复用，可创建自定义托管策略（iam.ManagedPolicy）再关联到角色，逻辑与内联策略一致。

内容的提问来源于stack exchange，提问作者user973347