仅通过删除 CloudFormation 堆栈来允许删除 AWS 资源

Question

请帮忙解决这个案例：

有一个 CF 堆栈可以创建一些 AWS 资源（由管理员帐户创建）。 有一个 AWS 用户（高级用户）允许删除 CF 堆栈。

我的目标：

允许用户通过 CF 堆栈删除来删除 CF 堆栈和所有创建的资源。 拒绝用户从资源控制台删除（和修改）资源。

问题：

如果用户只有 cloudformation:DeleteStack 权限，他只能发起删除，因为他没有资源删除权限（例如 lambda:DeleteFunction） 如果他有这些权限，他可以从资源控制台删除资源（例如 Lambda控制台），而不仅仅是通过 CF 堆栈删除。

有任何想法吗？

Answer 1

CloudFormation 可以承担一个角色来完成它的工作： https : //docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/using-iam-servicerole.html

因此，创建一个具有部署堆栈所需的所有权限的角色，并确保它只能由 CloudFormation 承担。 然后授予该用户创建和删除堆栈的权限，以及列出角色和执行创建/删除所需的任何其他内容（您必须尝试一下，因为某些所需的权限并不明显） .