授予自行管理的权限

在管理员账户中，创建一个名为 AWSCloudFormationStackSetAdministrationRole 的 IAM 角色。为此，您可以通过以下 Amazon CloudFormation 模板创建堆栈，网址为 https://s3.amazonaws.com/cloudformation-stackset-sample-templates-us-east-1/AWSCloudFormationStackSetAdministrationRole.yml。此模板创建的角色将在您的管理员账户上启用以下策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole"
      ],
      "Resource": [
        "arn:aws:iam::*:role/AWSCloudFormationStackSetExecutionRole"
      ],
      "Effect": "Allow"
    }
  ]
}

以下信任关系是由上述模板创建的。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudformation.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

请注意，要将堆栈实例部署到驻留在默认情况下禁用的区域中的目标账户，还需要包含该区域的区域服务主体。默认情况下禁用的每个区域都有自己的区域服务主体。

有关区域端点的更多信息（包括端点列表），请参阅《Amazon 一般参考指南》中的区域端点。

以下示例包括亚太地区（香港）区域的区域服务主体（cloudformation.ap-east-1.amazonaws.com），该区域在默认情况下禁用。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "cloudformation.amazonaws.com",
            "cloudformation.ap-east-1.amazonaws.com"
         ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

有关更多信息，请参阅 执行涉及默认情况下禁用的区域的堆栈集操作。

在每个目标账户中，创建一个信任管理员账户的名为 AWSCloudFormationStackSetExecutionRole 的服务角色。该角色必须具有该确切名称。为此，您可以通过以下 Amazon CloudFormation 模板创建堆栈，网址为 https://s3.amazonaws.com/cloudformation-stackset-sample-templates-us-east-1/AWSCloudFormationStackSetExecutionRole.yml。当您使用此模板时，系统将提示您提供目标账户必须与其具有信任关系的管理员账户的名称。

目标账户服务角色需要权限才能执行 Amazon CloudFormation 模板中指定的任何操作。例如，如果您的模板正在创建 S3 存储桶，则您需要权限才能为 S3 创建新对象。您的目标账户始终需要完整的 Amazon CloudFormation 权限，其中包含创建、更新、删除和描述堆栈的权限。此模板创建的角色将在目标账户上启用以下策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    }
  ]
}

要在使用 CloudFormation 以外的服务中的资源的目标账户中创建堆栈，您必须将这些服务操作和资源添加到每个目标账户的 AWSCloudFormationStackSetExecutionRole 策略语句中。以下示例显示具有 StackSets 所需权限的策略语句。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "cloudformation:*"
      ],
      "Resource": "*"
    }
  ]
}

以下信任关系是由此模板创建的。管理员账户的 ID 显示为 admin_account_id。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::admin_account_id:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

您可以配置现有目标账户执行角色的信任关系以信任管理员账户中的特定角色。如果您在管理员账户中删除此角色并创建一个新角色来替代它，则您必须使用新的管理员账户角色 (由上一示例中的 admin_account_id 表示) 配置您的目标账户信任关系。

对于每个堆栈集，创建一个自定义的管理员角色，该角色具有在目标账户中担任 AWSCloudFormationStackSetExecutionRole 服务角色的权限。

使用以下权限策略，创建具有自定义名称的 IAM 服务角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole"
      ],
      "Resource": [
        "arn:aws:iam::target_account_id:role/AWSCloudFormationStackSetExecutionRole"
      ],
      "Effect": "Allow"
    }
  ]
}

或者，如果您要指定所有目标账户，请使用以下权限策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole"
      ],
      "Resource": [
        "arn:aws:iam::*:role/AWSCloudFormationStackSetExecutionRole"
      ],
      "Effect": "Allow"
    }
  ]
}

在创建角色以定义信任关系时，您必须提供以下信任策略：

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
        "Service": "cloudformation.amazonaws.com" 
      }, 
      "Action": "sts:AssumeRole" 
    } 
  ] 
}

请注意，要将堆栈实例部署到驻留在默认情况下禁用的区域中的目标账户，还需要包含该区域的区域服务主体。默认情况下，不可用的每个区域都有自己的区域服务主体。

有关区域端点的更多信息（包括端点列表），请参阅《Amazon 一般参考指南》中的区域端点。

以下示例包括亚太地区（香港）区域的区域服务主体（cloudformation.ap-east-1.amazonaws.com），该区域在默认情况下禁用。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "cloudformation.amazonaws.com",
            "cloudformation.ap-east-1.amazonaws.com"
         ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

有关更多信息，请参阅 执行涉及默认情况下禁用的区域的堆栈集操作。

在每个目标账户中，创建一个名为 AWSCloudFormationStackSetExecutionRole 的服务角色，该角色信任要用于此账户的自定义管理角色。

目标账户服务角色需要权限才能执行 Amazon CloudFormation 模板中指定的任何操作。例如，如果您的模板正在创建 S3 存储桶，则您需要在 S3 中创建新对象的权限。您的目标账户始终需要完整的 Amazon CloudFormation 权限，其中包含创建、更新、删除和描述堆栈的权限。

以下示例显示了一个包含让堆栈集运行所需的最低 权限的策略声明。要在使用 Amazon CloudFormation 以外的服务中的资源的目标账户中创建堆栈，您必须将这些服务操作和资源添加到每个目标账户的 AWSCloudFormationStackSetExecutionRole 权限策略声明中。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:*"
      ],
      "Resource": "*"
    }
  ]
}

在创建角色以定义信任关系时，您必须提供以下信任策略：

{
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
      "AWS": "arn:aws:iam::admin_account_id:role/customized_admin_role" 
      }, 
      "Action": "sts:AssumeRole"
    } 
  ] 
} 

允许用户在执行堆栈集操作时传递自定义的管理员角色。

向用户或组附加 IAM 权限策略，该策略允许他们在创建或更新特定堆栈集时传递相应的自定义管理员角色。有关更多信息，请参阅向用户授予将角色传递给 Amazon 服务的权限。在以下示例中，customized_admin_role 是指用户需要传递的管理员角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::*:role/customized_admin_role"
    }
  ]
}

在要在其中创建堆栈集的目标账户中，创建一个自定义的执行角色，该角色授予对您希望用户和组能够将其包含在堆栈集中的服务和资源的权限。

以下示例提供了堆栈集的最小权限以及创建 Amazon DynamoDB 表的权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "dynamoDb:createTable"
      ],
      "Resource": "*"
    }
  ]
}

在创建角色以定义信任关系时，您必须提供以下信任策略：

{
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Effect": "Allow", 
      "Principal": { 
      "AWS": "arn:aws:iam::admin_account_id:role/customized_admin_role" 
      }, 
      "Action": "sts:AssumeRole"
    } 
  ] 
} 

在您的管理员账户中创建自定义的管理员角色，如设置权限以控制目标账户访问中所述。包含自定义的管理员角色和希望该角色使用的自定义的执行角色之间的信任关系。

以下示例包含针对为目标账户定义的 AWSCloudFormationStackSetExecutionRole 以及自定义的执行角色的 sts::AssumeRole 策略。