CloudFormation模板中限定ec2:CopyImage权限至特定角色的问题求助

嘿，我来帮你搞定这个CloudFormation里的IAM权限配置问题！你遇到的Policy document should not specify a principal错误，核心原因是用错了策略的适用场景——咱们一步步拆解：

为什么你的原配置会报错？ #

你写的Deny: NotPrincipal配置，大概率是被放在了IAM身份策略（比如直接附加到角色、用户的权限策略）里，但这类策略根本不需要指定Principal！因为策略已经绑定到具体的身份上了，AWS会自动识别这个策略对应的主体，所以你手动加Principal/NotPrincipal就会触发错误。

另外，即使是在资源策略（比如AMI的资源权限）里，用Deny+NotPrincipal也不是最优解，反而容易绕晕，咱们换更简单直接的方式来实现需求。

正确解决方案：两种场景的配置方式 #

场景1：给特定角色授权ec2:CopyImage（推荐） #

默认情况下，所有IAM身份都没有ec2:CopyImage的权限，所以最直接的方式是给目标角色附加Allow策略，明确允许它执行这个操作。

比如给EngineeringRole附加以下策略（可以写在CloudFormation的AWS::IAM::Policy资源里）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCopyAMIForEngineeringRole",
      "Effect": "Allow",
      "Action": "ec2:CopyImage",
      "Resource": "*" // 可以替换成特定AMI的ARN，比如arn:aws:ec2:us-east-1:123456789012:image/ami-xxxxxx，缩小权限范围
    }
  ]
}

场景2：保护特定AMI，仅允许指定角色复制（资源策略） #

如果你的需求是某个特定AMI只能被EngineeringRole复制，那需要给这个AMI设置资源策略，用Allow+Principal来明确允许的主体，而不是用Deny排除：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RestrictCopyAMIToEngineeringRole",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::123456789012:role/EngineeringRole", // 角色本身的ARN
          "arn:aws:sts::123456789012:assumed-role/EngineeringRole/*" // 角色的会话ARN
        ]
      },
      "Action": "ec2:CopyImage",
      "Resource": "arn:aws:ec2:us-east-1:123456789012:image/ami-xxxxxx" // 要保护的AMI的ARN
    }
  ]
}

注意：这里同时包含角色本身ARN和会话ARN，是为了覆盖所有可能的调用场景——有些工具/SDK会用角色ARN直接调用，有些则会用assumed-role的会话ARN。

额外注意事项 #

• 优先用Allow策略明确授权，而不是Deny策略排除：IAM权限评估逻辑是先检查显式Deny，再检查Allow，Allow策略更直观，也更容易维护。
• 尽量缩小资源范围：不要用*作为Resource，最好指定具体的AMI ARN，遵循最小权限原则。
• 在CloudFormation中配置时，如果是给角色加策略，用AWS::IAM::Role的Policies属性，或者单独的AWS::IAM::Policy资源；如果是给AMI加资源策略，可以通过AWS::EC2::Image的ImageId结合自定义资源来设置（因为CloudFormation原生不支持直接给AMI附加资源策略，需要用Lambda自定义资源来调用EC2 API）。

内容的提问来源于stack exchange，提问作者Cr00t