为何基于标签的权限边界无法访问CloudFormation堆栈资源？

你的权限边界策略无效的核心原因是：删除堆栈时操作的是CloudFormation堆栈本身，而非堆栈内的底层资源。CloudFormation自动添加的aws:cloudformation:stack-name标签仅会附着在堆栈创建的底层资源（如EC2实例、S3桶）上，堆栈资源本身不会被打上这个标签。当执行cloudformation:DeleteStack操作时，权限边界会检查被操作资源（即堆栈）的标签，而它没有匹配的标签，因此触发权限拒绝。

另外，你使用的ForAnyValue:StringEquals条件也不适合当前场景——这个条件用于匹配多值标签的任意一个值，而aws:cloudformation:stack-name是单值标签，用StringEquals更准确。

调整策略，分两部分配置：一是允许对指定堆栈的CloudFormation核心操作，二是允许操作带有目标标签的底层资源：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:CreateStack",
                "cloudformation:UpdateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStacks",
                "cloudformation:DescribeStackEvents",
                "cloudformation:GetTemplate"
            ],
            "Resource": "arn:aws:cloudformation:*:*:stack/my-stack-name/*"
        },
        {
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/aws:cloudformation:stack-name": "my-stack-name"
                }
            }
        }
    ]
}

• 使用CloudFormation服务角色：专门创建服务角色供CloudFormation扮演，信任策略仅允许cloudformation.amazonaws.com调用，避免角色被其他实体滥用。同时服务角色的权限策略可以结合堆栈的资源类型细化操作，比如只允许EC2、S3相关操作，而非*。
• 强制标签+权限联动：在身份策略中添加条件，要求创建资源时必须携带aws:cloudformation:stack-name标签（使用aws:RequestTag），再结合权限边界的aws:ResourceTag条件，确保只有带指定标签的资源能被操作。
• 细化Action范围：不要使用Action: "*"，根据堆栈实际包含的资源类型，明确列出允许的操作，比如ec2:RunInstances、s3:CreateBucket等，进一步缩小权限范围。
• 用IAM Access Analyzer验证：通过工具检查权限边界和身份策略的组合是否存在过度授权或权限缺口，确保策略符合最小权限原则。

内容的提问来源于stack exchange，提问作者nickform