Question

我正在尝试部署一个CloudFormation模板，该模板使用此博客文章中描述的方法从SSM中提取一些参数：https://aws.amazon.com/blogs/mt/integrating-aws-cloudformation-with-aws-systems-manager-parameter-store/

CF模板的“参数”部分的相关摘录为：

"ZoneName" : {
   "Type" : "AWS::SSM::Parameter::Value<String>",
   "Description" : "DNS Hostname Zone",
   "Default" : "/Deimos/ZoneName"
},
"ZoneId" : {
   "Type" : "AWS::SSM::Parameter::Value<String>",
   "Description" : "DNS Hostname Zone",
   "Default" : "/Deimos/ZoneId"
},

但是，当我尝试通过CodePipeline部署它时，出现以下错误：

Action execution failed
AccessDenied. User doesn't have permission to call ssm:GetParameters (Service: AmazonCloudFormation; Status Code: 400; Error Code: ValidationError; Request ID: d6756fbe-fd41-4ac5-93bd-56e5b397445e)

我已经为CloudFormation设置了角色和策略，其中包括以下部分以授予对SSM中某些参数名称空间的访问权限：

    {
        "Sid": "XonoticCFFetchParameters",
        "Effect": "Allow",
        "Action": [
            "ssm:GetParameters",
            "ssm:GetParameter"
        ],
        "Resource": [
            "arn:aws:ssm:*:<aws account #>:parameter/Deimos/*",
            "arn:aws:ssm:*:<aws account #>:parameter/Installers/*",
            "arn:aws:ssm:*:<aws account #>:parameter/Xonotic/*"
        ]
    },

基于

的使用，这些似乎已经很好地应用了

aws iam simulate-principal-policy --policy-source-arn "arn:aws:iam::<aws account #>:role/Xonotic-CloudFormationDeploy" --action-names "ssm:getParameters" --resource-arns "arn:aws:ssm:*:<aws account #>:parameter/Deimos/ZoneName"
{
    "EvaluationResults": [
        {
            "EvalActionName": "ssm:getParameters",
            "EvalResourceName": "arn:aws:ssm:*:<aws account #>:parameter/Deimos/ZoneName",
            "EvalDecision": "allowed",
            "MatchedStatements": [
                {
                    "SourcePolicyId": "Xonotic-Deployment",
                    "StartPosition": {
                        "Line": 3,
                        "Column": 19
                    },
                    "EndPosition": {
                        "Line": 16,
                        "Column": 10
                    }
                }
            ],
            "MissingContextValues": []
        }
    ]
}

因此，我正在使用的角色应该具有获取有问题的参数所需的访问权限，但是它无法正常工作，而且我无法检查。

Answer 1

好-在这种情况下，事实证明存在一个JSON参数文件，该文件是构建管道的一部分，该文件使用无效值覆盖了我的一个参数（它将实际的区域名称放在ZoneName中）。

已修复此问题，现在参数已很好地传递给我的构建过程。

尽管有政策，CloudFormation无法访问模板中的SSM参数

1 个答案: