嵌套CloudFormation栈中cfn-init遇DescribeStackResource权限拒绝问题

核心排查方向及修复方案 #

1. IAM策略资源范围未覆盖嵌套子栈 #

虽然你提到IAM策略允许所有Action和Resource，但务必确认策略中的Resource字段是否真正包含了目标子栈的ARN。很多时候用户会误用${AWS::StackName}变量来限定资源范围，在嵌套栈场景下，这个变量会解析为父栈名称，导致子栈的ARN不在允许范围内，触发权限拒绝。

• 修复：更新IAM策略，将CloudFormation相关操作的Resource设置为arn:aws:cloudformation:*:*:stack/*（覆盖所有栈）或直接*。示例片段：

  {
    "Effect": "Allow",
    "Action": "cloudformation:DescribeStackResource",
    "Resource": "arn:aws:cloudformation:*:*:stack/*"
  }
  

2. 嵌套栈部署顺序导致的时机问题 #

父栈可能在子栈完全创建完成前就触发了Auto Scaling Group的实例启动，此时cfn-init调用子栈资源时，虽然权限合法，但子栈资源尚未完成注册？不过你的报错是AccessDenied而非ResourceNotFound，这条优先级稍低，但可以验证：

• 修复：在父栈的ASG资源中添加DependsOn属性，明确依赖子栈的创建完成；或在cfn-init配置中加入重试逻辑，等待子栈就绪。

3. IAM角色的权限边界限制 #

如果实例关联的IAM角色附加了权限边界，即便策略本身允许所有操作，权限边界也可能限制了对嵌套子栈的访问。

• 修复：检查角色的权限边界策略，添加对目标子栈ARN的cloudformation:DescribeStackResource操作允许。

4. cfn-init配置中的栈名称错误 #

仔细核对cfn-init配置里指定的子栈名称，是否存在拼写错误（比如报错中的栈名是ms-lbas-split1-EC2LauncConfigStack-1GB6170KAE3EU，注意Launc是否应为Launch）。手动执行时你可能输入了正确名称，但cfn-init配置中写错的话，也可能触发异常（不过通常会报ResourceNotFound，但仍需排查）。

快速验证步骤 #

• 在实例上直接执行：

  aws cloudformation describe-stack-resource --stack-name ms-lbas-split1-EC2LauncConfigStack-1GB6170KAE3EU --logical-resource-id <你的目标资源ID>
  

  如果执行成功，说明权限没问题，问题出在cfn-init的执行逻辑或配置上。
• 查看实例的cfn-init日志（路径：/var/log/cfn-init.log），获取更详细的错误上下文，确认请求的栈名称、资源ID是否正确，以及权限拒绝的具体细节。

内容的提问来源于stack exchange，提问作者Marco Sinigaglia