如何在AWS CloudFormation中自动获取当前用户ID并用于栈配置？

方案1：使用CloudFormation内置AWS::CallerIdentity函数 #

这是最直接的方法，无需额外资源，CloudFormation内置的AWS::CallerIdentity资源可以直接返回发起栈操作的身份ID。如果是用户直接用自身凭证部署栈，返回的就是该IAM用户的ID；如果是通过角色部署，则返回角色的ID（符合实际调用身份）。

示例模板片段：

# 直接在输出或资源配置中引用
Outputs:
  DeployingUserId:
    Description: ID of the user/role that deployed this stack
    Value: !GetAtt AWS::CallerIdentity.UserId

# 也可以在资源中使用，比如给IAM策略绑定用户ID
Resources:
  UserAccessPolicy:
    Type: AWS::IAM::Policy
    Properties:
      PolicyName: UserSpecificAccess
      PolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Action: s3:GetObject
            Resource: !Sub "arn:aws:s3:::my-bucket/${AWS::CallerIdentity.UserId}/*"
      Users:
        - !Ref AWS::CallerIdentity.UserId

方案2：自定义资源Lambda（需处理额外逻辑时） #

如果需要在Lambda中基于用户ID执行复杂操作，避免Lambda返回自身执行角色ID的关键是：让CloudFormation把AWS::CallerIdentity.UserId作为参数传递给Lambda，而不是让Lambda自己调用STS获取身份。

示例模板：

Parameters:
  StackName:
    Type: String
    Default: UserIdDemoStack

Resources:
  # Lambda执行角色（仅保留必要权限）
  LambdaExecRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: lambda.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

  # 处理用户ID的Lambda函数
  UserIdHandler:
    Type: AWS::Lambda::Function
    Properties:
      Runtime: python3.12
      Handler: index.lambda_handler
      Role: !GetAtt LambdaExecRole.Arn
      Code:
        ZipFile: |
          import json

          def lambda_handler(event, context):
              # 从CloudFormation传入的参数中提取用户ID
              caller_id = event['ResourceProperties']['CallerUserId']
              # 这里可以添加自定义逻辑，比如验证用户权限、关联其他资源等
              
              # 返回结果给CloudFormation
              response = {
                  'Status': 'SUCCESS',
                  'PhysicalResourceId': caller_id,
                  'Data': {
                      'UserId': caller_id,
                      'AdditionalInfo': 'Custom processed data'
                  }
              }
              return response

  # 自定义资源，传递用户ID给Lambda
  CustomUserIdResource:
    Type: Custom::FetchUserId
    Properties:
      ServiceToken: !GetAtt UserIdHandler.Arn
      CallerUserId: !GetAtt AWS::CallerIdentity.UserId

# 输出最终获取的用户ID
Outputs:
  ProcessedUserId:
    Value: !GetAtt CustomUserIdResource.UserId

方案3：CLI部署时传入用户ID参数 #

如果使用AWS CLI自动化部署，可以提前通过STS获取当前用户ID，再作为参数传递给CloudFormation栈。

步骤1：获取用户ID

DEPLOY_USER_ID=$(aws sts get-caller-identity --query UserId --output text)

步骤2：部署栈并传入参数

aws cloudformation deploy \
  --template-file your-template.yaml \
  --stack-name your-stack-name \
  --parameter-overrides DeployingUserId=$DEPLOY_USER_ID

步骤3：模板中定义参数并使用

Parameters:
  DeployingUserId:
    Type: String
    Description: ID of the user initiating the deployment

Resources:
  # 示例：创建带有用户ID标识的S3桶
  UserSpecificBucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName: !Sub "user-data-bucket-${DeployingUserId}"

内容的提问来源于stack exchange，提问作者Tulasi nadh