防止所有用户删除特定的cloudformation堆栈

Question

我有以下IAM政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "cloudformation:UpdateStack",
                "cloudformation:DeleteStack"
            ],
            "Resource": "MystackARN"
        }
    ]
}

我将其附加到我的用户进行测试，然后尝试删除cloudformation堆栈，然后出现此错误：

Failed to delete stack: User: arn:aws:iam::accountId:user/me is not authorized to perform: cloudformation:DeleteStack on resource: arn:aws:cloudformation:eu-west-1:stackARN

我想要所有用户，但当他们尝试删除策略内指定的堆栈时遇到此错误。

是否可以使用AWS CLI将此策略添加到除我（堆栈所有者）之外的所有用户？

要么：

有什么方法可以从除我（堆栈所有者）之外的所有用户中删除权限DeleteStack ？

我尝试了这个：

aws iam attach-user-policy --policy-arn arn:aws:iam::AccountId:policy/cfn-policy --user-name arn:aws:iam::AccountId:user/*

但这没有用。

Answer 1

一种简单的方法是：

1. 创建IAM组并将您的拒绝策略附加到该组
2. 将除您以外的所有用户添加到组中

这将是AWS推荐的方法。