如何解决CloudFormation模板中IAM资源之间的循环依赖问题

你的模板中存在明确的资源依赖闭环：

• IAMUser资源的ManagedPolicyArns属性引用了IAMManagedPolicy2，因此IAMUser必须等待IAMManagedPolicy2创建完成才能创建
• IAMManagedPolicy2的策略文档中引用了IAMRole、IAMRole2的资源ID，因此IAMManagedPolicy2必须等待两个角色创建完成才能创建
• IAMRole、IAMRole2的信任策略中引用了IAMUser的ARN，因此两个角色必须等待IAMUser创建完成才能创建
  三者互相等待，触发CloudFormation循环依赖错误。

方案1（推荐，无硬编码）：拆分用户与策略的绑定关系 #

将IAMUser与IAMManagedPolicy2的绑定从IAMUser的内置属性中剥离，使用独立的AWS::IAM::UserPolicyAttachment资源完成绑定，直接断开循环链。

修改步骤： #

1. 删除IAMUser资源中的ManagedPolicyArns配置段
   修改前的IAMUser配置：

IAMUser:
    Type: "AWS::IAM::User"
    Properties:
        Path: "/"
        UserName: "sysuser"
        ManagedPolicyArns: 
          - !Ref IAMManagedPolicy2

修改后的IAMUser配置：

IAMUser:
    Type: "AWS::IAM::User"
    Properties:
        Path: "/"
        UserName: "sysuser"

2. 在Resources段新增独立的用户策略绑定资源：

UserToPolicyAttachment:
        Type: "AWS::IAM::UserPolicyAttachment"
        Properties:
            UserName: !Ref IAMUser
            PolicyArn: !Ref IAMManagedPolicy2

修改后的资源创建顺序： #

1. 无依赖的IAMUser、IAMGroup优先创建
2. 依赖IAMGroup的IAMManagedPolicy、IAMManagedPolicy3创建完成
3. 仅依赖IAMUser ARN的IAMRole、IAMRole2创建完成
4. 依赖两个角色ARN的IAMManagedPolicy2创建完成
5. 最后完成用户与策略的绑定，全流程无循环

方案2：硬编码角色信任策略中的用户ARN #

如果不想新增额外资源，也可以直接在IAMRole、IAMRole2的信任策略中手动拼接用户ARN，避免对IAMUser资源的直接依赖：
将两个角色信任策略中的!GetAtt IAMUser.Arn替换为：

!Sub "arn:aws:iam::${AWS::AccountId}:user/sysuser"

该方案需要保证用户名和配置的一致性，适合固定用户名的场景。

模板其余部分的资源依赖不存在冲突，无需修改。

内容的提问来源于stack exchange，提问作者abhinav singh