防止所有用戶刪除特定的cloudformation堆棧

Question

我有以下IAM政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "cloudformation:UpdateStack",
                "cloudformation:DeleteStack"
            ],
            "Resource": "MystackARN"
        }
    ]
}

我將其附加到我的用戶進行測試，然后嘗試刪除cloudformation堆棧，然后出現此錯誤：

Failed to delete stack: User: arn:aws:iam::accountId:user/me is not authorized to perform: cloudformation:DeleteStack on resource: arn:aws:cloudformation:eu-west-1:stackARN

我想要所有用戶，但當他們嘗試刪除策略內指定的堆棧時遇到此錯誤。

是否可以使用AWS CLI將此策略添加到除我（堆棧所有者）之外的所有用戶？

要么：

有什么方法可以從除我（堆棧所有者）之外的所有用戶中刪除權限DeleteStack ？

我嘗試了這個：

aws iam attach-user-policy --policy-arn arn:aws:iam::AccountId:policy/cfn-policy --user-name arn:aws:iam::AccountId:user/*

但這沒有用。

Answer 1

一種簡單的方法是：

1. 創建IAM組並將您的拒絕策略附加到該組
2. 將除您以外的所有用戶添加到組中

這將是AWS推薦的方法。