以最低權限部署 AWS SAM function

Question

對於像https://github.com/TractorZoom/sam-cli-action這樣的 SAM CI/CD 憑據，我該如何創建/指定具有最少權限的密鑰/秘密？ 即不是我的 PowerUser 帳戶的AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY ，但仍然足以部署和更新應用程序嗎？

當我執行sam deploy時，它說它正在創建一個 IAM 角色，但在檢查時它只是一個 arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole ，它只允許寫入日志 AFAICT。

那么，如何創建具有最少特權的“部署角色”，或者我缺少什么？

Answer 1

您可以創建一個具有最低權限策略的 IAM 角色，並允許您的用戶擔任該角色，然后將臨時憑證注入您的 CI/CD 文件。 更多信息在這里

更好的是，如果您有一個執行管道的實例，您可以將 IAM 角色附加到它。 我使用 Gitlab 跑步者，這就是我一直使用 go 的原因。 在這種情況下，您可以跳過定義憑據，因為實例會處理它。

無論哪種情況，IAM 角色都是先決條件，最好是獨立部署。