如何为自动生成的IAM角色附加额外权限策略？

你遇到的问题是因为错误地获取了底层的CfnRole资源，而AutoScalingGroup的role属性本身就是高层的iam.IRole抽象，它提供了正确的方法来添加权限策略。以下是两种可行的解决方案：

方法一：使用addToPrincipalPolicy直接添加策略语句 #

直接通过aiAutoScalingGroup.role调用addToPrincipalPolicy方法，传入你的PolicyStatement即可：

const aiAutoScalingGroup = new autoscaling.AutoScalingGroup(this, 'ai-asg', {
  vpc,
  instanceType: new ec2.InstanceType('g4dn.xlarge'),
  machineImage: ec2.MachineImage.genericLinux({
    "ap-northeast-1":"ami-023ec1c000b5029be"
  }),
  minCapacity:0,
  maxCapacity:1,
  vpcSubnets: {subnetType: ec2.SubnetType.PRIVATE_WITH_EGRESS }
});

const policyStatement = new iam.PolicyStatement({
  actions: ['cloudwatch:PutMetricData'],
  resources: ['*']
});

// 直接使用高层IRole的方法添加策略语句
aiAutoScalingGroup.role.addToPrincipalPolicy(policyStatement);

方法二：创建独立IAM Policy并附加到角色 #

如果你需要更清晰的权限管理，可以创建一个独立的iam.Policy资源，再将其附加到自动生成的角色上：

const aiAutoScalingGroup = new autoscaling.AutoScalingGroup(this, 'ai-asg', {
  vpc,
  instanceType: new ec2.InstanceType('g4dn.xlarge'),
  machineImage: ec2.MachineImage.genericLinux({
    "ap-northeast-1":"ami-023ec1c000b5029be"
  }),
  minCapacity:0,
  maxCapacity:1,
  vpcSubnets: {subnetType: ec2.SubnetType.PRIVATE_WITH_EGRESS }
});

// 创建独立的Policy
const cloudWatchMetricPolicy = new iam.Policy(this, 'CloudWatchMetricPolicy', {
  statements: [
    new iam.PolicyStatement({
      actions: ['cloudwatch:PutMetricData'],
      resources: ['*']
    })
  ]
});

// 将Policy附加到AutoScalingGroup的角色
cloudWatchMetricPolicy.attachToRole(aiAutoScalingGroup.role);

两种方法都能正确为自动生成的IAM角色添加cloudwatch:PutMetricData权限，你可以根据自己的代码结构选择合适的方式。

内容的提问来源于stack exchange，提问作者whitebear