我想使用 AWS CDK 更新現有 IAM 角色的信任策略

Question

我想使用 AWS CDK 更新現有 IAM 角色的信任策略。 但我沒有找到確切的 cdk 屬性來做到這一點。 請幫我。

假設 Rolename my_rolename_1具有以下信任策略

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::12345:role/role_1"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

現在我想添加另一個 aws 帳戶以信任策略 arn:aws:iam::23451:role/role_2

IAM 角色的信任策略應該更新為

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::12345:role/role_1",
                    "arn:aws:iam::23451:role/role_2"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

我可以使用以下命令導入角色

const Existingrole = iam.Role.fromRoleArn(this, 'Role', 'arn:aws:iam::11111:role/my_rolename_1',{
        mutable: true,
     });

但是找不到確切的屬性來使用新的跨帳戶詳細信息附加/更新信任策略。

Answer 1

CDK 無法修改現有的外部資源。 從fromRoleArn方法返回的引用是只讀的。

CDK CLI 確實具有實際（實驗性） cdk 導入功能，可將現有資源導入 CDK 應用程序。 AWS::IAM::Role是一種支持導入的資源類型。 導入角色后，您可以像修改其他 CDK 資源一樣對其進行修改。 或者，您可以簡單地創建一個新角色並刪除現有角色，而不是導入。