翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

スタックポリシーを制限および要求する

最小特権のアクセス許可のベストプラクティスとして、IAM プリンシパルにスタックポリシーの割り当てを要求すること、IAM プリンシパルが割り当てできるスタックポリシーを制限することを検討してください。通常は、IAM プリンシパルにカスタムスタックポリシーの作成や自身のスタックへの割り当ての権限を与えないでください。

スタックポリシーを作成したら、S3 バケットにアップロードすることを推奨します。その後、cloudformation:StackPolicyUrl 条件キーを使用して S3 バケットのスタックポリシーの URL を指定することで、これらのスタックポリシーを参照できます。

アクセス許可を付与してスタックポリシーをアタッチする

最小特権のアクセス許可のベストプラクティスとして、IAM プリンシパルが CloudFormation のスタックにアタッチできるスタックポリシーを制限することを検討してください。IAM プリンシパルの ID ベースのポリシーでは、IAM プリンシパルが割り当てのアクセス許可を持つスタックポリシーを指定できます。こうすることで IAM プリンシパルがスタックポリシーをアタッチできなくなり、設定ミスのリスクを軽減できます。

例えば、組織に要件の異なるさまざまなチームがあるとします。そのため、各チームはチーム固有の CloudFormation スタックに対するスタックポリシーを構築します。共有環境で、すべてのチームがスタックポリシーを同じ S3 バケットに保存すると、あるチームのメンバーが、利用はできるが自チームの CloudFormation スタック向けではないスタックポリシーをアタッチしてしまう可能性があります。そのような状況を回避するには、ポリシーステートメントを定義して、IAM プリンシパルが特定のスタックポリシーのみアタッチできるようにできます。

次のサンプルポリシーは、IAM プリンシパルが S3 バケット内のチーム固有フォルダに保存されているスタックポリシーをアタッチできるようにします。このバケットに、承認されたスタックポリシーを保存できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:SetStackPolicy"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloudformation:StackPolicyUrl": "<Bucket URL>/<Team folder>/*"
        }
      }
    }
  ]
}

このポリシーステートメントでは、IAM プリンシパルがすべてのスタックにスタックポリシーを割り当てることを要求しません。IAM プリンシパルが特定のスタックポリシーを持つスタックを作成する権限を持っていても、スタックポリシーを持たないスタックを作成するように選択できます。

スタックポリシーを要求する

すべての IAM プリンシパルがスタックポリシーを確実にスタックに割り当てるように、サービスコントロールポリシー (SCP) またはアクセス許可の境界を予防的ガードレールとして定義できます。

以下のサンプルポリシーは、スタックの作成時に、IAM プリンシパルにスタックポリシーの割り当てを要求する SCP を設定する方法を示しています。IAM プリンシパルがスタックポリシーをアタッチしないと、スタックを作成できません。このポリシーはさらに、スタックの更新権限を持つ IAM プリンシパルが、更新中にスタックポリシーを削除することを防止します。このポリシーは cloudformation:StackPolicyUrl 条件キーを使用することで cloudformation:UpdateStack アクションを制限します。

          {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloudformation:CreateStack",
        "cloudformation:UpdateStack"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "cloudformation:StackPolicyUrl": "true"
        }
      }
    }
  ]
}

このポリシーステートメントを、アクセス許可の境界ではなく SCP に含めることで、組織内のすべてのアカウントにガードレールを適用できます。これにより、以下のことが可能になります。