如何解决AWS CloudFormation跨栈引用IAM角色至IAM策略的报错？

错误原因 #

AWS::IAM::Policy的Role属性不支持用RoleId作为关联值，它仅接受角色名称或角色ARN。你导入Stack1输出的RoleId后，CloudFormation无法通过这个值定位到对应的IAM角色，因此抛出NoSuchEntity错误。

正确操作步骤 #

1. 调整Stack1的输出配置 #

修改Stack1的Outputs部分，导出角色的ARN或名称（二者选其一或都导出，按需使用）：

Outputs:
  ECSRoleARN:
    Description: ARN of the ECS IAM Role
    Value: !GetAtt ECSRole.Arn
    Export:
      Name: ECSRoleARN  # 导出的唯一标识，Stack2将引用这个名称
  ECSRoleName:
    Description: Name of the ECS IAM Role
    Value: !Ref ECSRole
    Export:
      Name: ECSRoleName

2. 在Stack2中导入正确值关联策略 #

在Stack2的IAM Policy资源中，使用导入的ARN或名称关联角色，注意Roles是数组类型：

Resources:
  ECSPolicy:
    Type: AWS::IAM::Policy
    Properties:
      PolicyName: ECSAccessPolicy
      PolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Action:
              - ecs:RunTask
            Resource: '*'
      Roles:
        - !ImportValue ECSRoleARN  # 替换成ECSRoleName也可以

3. 关键注意事项 #

• 两个栈必须处于同一AWS区域，跨区域无法通过Fn::ImportValue引用导出值
• 确保Stack1已完全创建成功，且导出的名称在当前账户的对应区域中唯一
• 若角色和策略在同一个栈内，直接用!Ref或!GetAtt即可，无需跨栈导出导入

内容的提问来源于stack exchange，提问作者Keshav Sharma