如何在不更新CloudFormation StackSet的前提下调整CDK所用IAM角色权限

一、避免StackSet全量更新的方案 #

1. 将CDK专用IAM角色从StackSet中拆分出来 #

把原来嵌套在StackSet主栈里的CDK IAM角色，单独部署为一个独立的CloudFormation栈（或仅部署到CDK运行的目标账户/区域）。后续修改角色权限时，只需更新这个独立栈，不会触发原StackSet的全量跨账户/区域更新：

• 操作要点：
  • 把角色定义从原StackSet模板中移出，新建单独的CFN模板。
  • 原StackSet中的资源通过角色ARN引用这个独立栈的输出，确保依赖关系正常。

2. 用IAM权限边界实现权限增量调整 #

不给CDK角色直接附加权限策略，而是给角色绑定一个IAM权限边界，将CDK所需权限定义在边界策略中。后续调整权限时，只需更新权限边界的策略内容，无需修改StackSet中的角色资源定义：

• 操作示例：
  1. 创建权限边界策略（比如CDKExecutionBoundary），包含CDK所需的初始权限。
  2. 在StackSet的角色定义中添加PermissionsBoundary属性，指向该策略ARN。
  3. 新增权限时直接更新CDKExecutionBoundary策略，不会触发StackSet更新。

二、让初级开发者安全修改权限的方案 #

1. 精细化IAM权限控制 #

针对拆分后的独立栈或权限边界，给初级开发者配置最小必要权限，无需授予管理员权限：

• 若用独立栈：允许开发者执行cloudformation:UpdateStack（限定该独立栈的ARN），以及iam:PutRolePolicy、iam:AttachRolePolicy（限定目标角色ARN）。
• 若用权限边界：允许开发者执行iam:CreatePolicyVersion、iam:SetDefaultPolicyVersion（限定该权限边界策略ARN），确保他们只能更新边界权限，无法修改其他资源。

2. 权限参数化配置 #

在CloudFormation模板中，将CDK角色的权限策略内容做成可配置参数。初级开发者只需修改参数值（比如新增权限的JSON片段），即可完成权限调整，无需修改模板本身：

• 示例模板片段：

Parameters:
  CDKAdditionalPermissions:
    Type: String
    Default: '{}'
Resources:
  CDKExecutionRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: 'cdk.amazonaws.com'
            Action: 'sts:AssumeRole'
      Policies:
        - PolicyName: CDKBasePermissions
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - s3:GetObject
                  - cloudformation:DescribeStacks
                Resource: '*'
        - PolicyName: CDKAdditionalPermissions
          PolicyDocument: !Sub '${CDKAdditionalPermissions}'

这样开发者只需更新CDKAdditionalPermissions参数即可新增权限，且可通过IAM策略限制他们仅能修改该参数。

内容的提问来源于stack exchange，提问作者Jatin Mehrotra