amazon-web-services - 尽管有策略,CloudFormation 仍无法访问模板中的 SSM 参数
问题描述
我正在尝试部署一个 CloudFormation 模板,该模板使用此博客文章中描述的方法从 SSM 中提取一些参数:https ://aws.amazon.com/blogs/mt/integrating-aws-cloudformation-with-aws-systems -manager-parameter-store/
CF 模板的参数部分的相关摘录是:
"ZoneName" : {
"Type" : "AWS::SSM::Parameter::Value<String>",
"Description" : "DNS Hostname Zone",
"Default" : "/Deimos/ZoneName"
},
"ZoneId" : {
"Type" : "AWS::SSM::Parameter::Value<String>",
"Description" : "DNS Hostname Zone",
"Default" : "/Deimos/ZoneId"
},
但是,当我尝试部署它时(通过 CodePipeline)出现以下错误:
Action execution failed
AccessDenied. User doesn't have permission to call ssm:GetParameters (Service: AmazonCloudFormation; Status Code: 400; Error Code: ValidationError; Request ID: d6756fbe-fd41-4ac5-93bd-56e5b397445e)
我有一个 CloudFormation 的角色和策略设置,其中包括以下部分以授予对 SSM 中某些参数命名空间的访问权限:
{
"Sid": "XonoticCFFetchParameters",
"Effect": "Allow",
"Action": [
"ssm:GetParameters",
"ssm:GetParameter"
],
"Resource": [
"arn:aws:ssm:*:<aws account #>:parameter/Deimos/*",
"arn:aws:ssm:*:<aws account #>:parameter/Installers/*",
"arn:aws:ssm:*:<aws account #>:parameter/Xonotic/*"
]
},
这些似乎已经应用得很好,基于使用
aws iam simulate-principal-policy --policy-source-arn "arn:aws:iam::<aws account #>:role/Xonotic-CloudFormationDeploy" --action-names "ssm:getParameters" --resource-arns "arn:aws:ssm:*:<aws account #>:parameter/Deimos/ZoneName"
{
"EvaluationResults": [
{
"EvalActionName": "ssm:getParameters",
"EvalResourceName": "arn:aws:ssm:*:<aws account #>:parameter/Deimos/ZoneName",
"EvalDecision": "allowed",
"MatchedStatements": [
{
"SourcePolicyId": "Xonotic-Deployment",
"StartPosition": {
"Line": 3,
"Column": 19
},
"EndPosition": {
"Line": 16,
"Column": 10
}
}
],
"MissingContextValues": []
}
]
}
因此,我正在使用的角色应该具有获取相关参数所需的访问权限,但它不起作用,我没有东西可以检查。
解决方案
好的 - 所以在这种情况下,事实证明有一个 JSON 参数文件是构建管道的一部分,它用无效值覆盖了我的一个参数(它将实际区域名称放在 ZoneName 中)。
修复了这个问题,参数现在可以很好地传递给我的构建过程。
推荐阅读
- django - 如何从 Reddit 或 Github 等开源网站请求数据并显示在本地 Django 网站上?
- python - Caffe 的数据集准备
- python - 使用数据库调用对数据分析进行单元测试的最佳方法
- c# - 如何使用 C# 在 VM 中获取本地机器名称?
- android - Android Studio 模拟器:警告 System.cpp
- python - 使用 html、python 和 mysql 创建一个带有下拉菜单的网页
- python - Selenium 在光标活动部分键入文本
- elasticsearch - ElasticSearch 7.5 中 TermFilter() 的替代方法是什么
- windows - ShellExecute,路径中的空格
- apache-flink - 在同一源上 Flink 多个 Windows