如何为CodePipeline跨账号部署ECS服务创建所需IAM角色？

我正在使用EcsDeployAction实现跨账号ECS服务部署，已知必须在ECS集群所在账号创建一个IAM角色，现有CDK代码示例如下：

const service = ecs.BaseService.fromServiceArnWithCluster(this, 'Service', `arn:aws:ecs:${this.region}:${ACCOUNTS.dev}:service/${CLUSTER_NAME}/${SERVICE_NAME}`);
const deploymentRole  = iam.Role.fromRoleArn(this, 'DeploymentRole', `arn:aws:iam::${ACCOUNTS.dev}:role/${DEPLOYMENT_ROLE_NAME}`)
const deploymentAction = new codepipelineActions.EcsDeployAction({
          actionName: 'deploy',
          service,
          input: buildOutputFromDockerBuildInCodeBuild,
          role: deploymentRole,
        });

针对该场景，我有以下问题：

1. 如何通过CDK、CLI或其他IaC工具（而非手动控制台）创建该deploymentRole，使CodePipeline可跨账号部署？
2. 该角色需要哪些权限？
3. 该角色的信任/假设角色策略应如何配置？
4. 创建该角色后，还需进行哪些配置才能让此CodePipeline动作正常运行？

问题1：通过IaC工具创建部署角色 #

方式1：AWS CDK（在ECS集群所在账号的CDK栈中编写）

import * as iam from 'aws-cdk-lib/aws-iam';
import * as cdk from 'aws-cdk-lib';

const app = new cdk.App();
const stack = new cdk.Stack(app, 'EcsCrossAccountDeploymentRoleStack');

// 定义跨账号部署角色
const deploymentRole = new iam.Role(stack, 'EcsDeploymentRole', {
  roleName: 'ECS-CrossAccount-Deployment-Role',
  assumedBy: new iam.AccountPrincipal('CODEPIPELINE_ACCOUNT_ID'), // 替换为CodePipeline所在的账号ID
  description: 'Allows cross-account CodePipeline to deploy to ECS',
});

// 后续添加权限（见问题2）
// ...

app.synth();

方式2：AWS CLI

1. 创建信任策略文件trust-policy.json（内容见问题3）
2. 创建角色：

aws iam create-role \
  --role-name ECS-CrossAccount-Deployment-Role \
  --assume-role-policy-document file://trust-policy.json \
  --description "Allows cross-account CodePipeline to deploy to ECS"

3. 附加权限策略（见问题2的策略内容，保存为permissions-policy.json后执行）：

aws iam put-role-policy \
  --role-name ECS-CrossAccount-Deployment-Role \
  --policy-name ECS-Deployment-Permissions \
  --policy-document file://permissions-policy.json

问题2：角色所需权限 #

该角色需要具备部署ECS服务的核心权限，以下是最小权限集的策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:UpdateService",
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        "ecs:RegisterTaskDefinition"
      ],
      "Resource": [
        "arn:aws:ecs:REGION:ECS_ACCOUNT_ID:service/CLUSTER_NAME/SERVICE_NAME",
        "arn:aws:ecs:REGION:ECS_ACCOUNT_ID:task-definition/TASK_DEFINITION_FAMILY:*",
        "arn:aws:ecs:REGION:ECS_ACCOUNT_ID:cluster/CLUSTER_NAME"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "ecr:BatchCheckLayerAvailability"
      ],
      "Resource": "arn:aws:ecr:REGION:ECS_ACCOUNT_ID:repository/REPOSITORY_NAME"
    },
    {
      "Effect": "Allow",
      "Action": "cloudwatch:PutMetricData",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "AWS/ECS"
        }
      }
    }
  ]
}

替换其中的REGION、ECS_ACCOUNT_ID、CLUSTER_NAME、SERVICE_NAME、TASK_DEFINITION_FAMILY、REPOSITORY_NAME为实际值

问题3：信任/假设角色策略 #

信任策略需要允许CodePipeline所在账号的实体（可以是账号本身，或CodePipeline使用的服务角色）来假设该角色。以下是针对账号级信任的策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::CODEPIPELINE_ACCOUNT_ID:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_UNIQUE_EXTERNAL_ID" // 可选但推荐，增加安全性
        }
      }
    }
  ]
}

如果需要更精细的控制，也可以指定CodePipeline的服务角色ARN作为Principal，替换上述的arn:aws:iam::CODEPIPELINE_ACCOUNT_ID:root即可。

问题4：创建角色后的后续配置 #

1. 配置CodePipeline所在账号的角色权限：确保CodePipeline使用的服务角色（或执行部署动作的角色）具备sts:AssumeRole权限，允许访问ECS集群所在账号的部署角色：

{
  "Effect": "Allow",
  "Action": "sts:AssumeRole",
  "Resource": "arn:aws:iam::ECS_ACCOUNT_ID:role/ECS-CrossAccount-Deployment-Role"
}

2. 验证镜像仓库的跨账号访问：如果镜像存储在CodePipeline所在账号的ECR仓库，需要在ECR仓库的权限策略中允许ECS集群所在账号的部署角色拉取镜像；反之如果镜像在ECS账号，确保部署角色已有ECR权限（见问题2）。
3. 确认CDK代码中的角色ARN正确：确保deploymentRole的ARN准确指向ECS集群所在账号中创建的角色，且区域、账号ID、角色名无误。
4. 验证权限边界（若有）：如果ECS账号的IAM有全局权限边界，需确保部署角色的权限未被边界限制。

内容的提问来源于stack exchange，提问作者Farid Nouri Neshat