AWS CloudFormation 堆棧中資源之間的權限和堆棧獨立性

Question

我有 2 個系統（A 和 B），每個系統都有一個 CloudFormation 堆棧。 系統 B 通過 API 網關公開 REST API，系統 A 調用該網關。 我想讓每個系統的 CloudFormation 堆棧獨立於另一個系統，以便可以按任何順序部署它們。

我對堆棧 A 中的 lambda 的 IAM 權限有問題，無法調用堆棧 B 中公開的 API。要創建策略，我需要知道系統 B 中的 API 網關 ID。調用 ZDB974238714CA8DE4FZ 時我沒有類似問題眾所周知的自定義域名。

如果可以將 IAM 角色分配給組（如用戶可以），我將首先部署另一個“共享”堆棧。 它將定義一個 IAM 組。 系統 A 的 CF 堆棧會將 lambdas 角色附加到該組，系統 B 會將策略附加到該組。 但這是不可能的。

有沒有人有類似情況的經驗，可以分享一些建議？

Answer 1

您可以在 IAM 策略中包含以下語句，但這將授予您的 lambda function 更廣泛的訪問權限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "apigateway:*"
      ],
      "Resource": [
        "arn:aws:apigateway:*::/*"
      ]
    }
  ]
}