翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudFormation の ID ベースポリシーの例

このセクションでは、CloudFormation のアクセス許可を付与および拒否する方法を示す ID ベースポリシーの例を紹介します。これらのポリシー例を使用して、最小特権の原則に準拠した独自のポリシーの設計を開始できます。

CloudFormation に固有のアクションと条件のリストについては、「Actions, resources, and condition keys for AWS CloudFormation」と「AWS Identity and Access Management で AWS CloudFormation アクセスを制御する」を参照してください。条件と共に使用するリソースタイプのリストについては、「AWS リソースおよびプロパティタイプのリファレンス」を参照してください。

ビューアクセスを許可

ビューアクセスは、CloudFormation への最小特権タイプのアクセスです。この種のポリシーは、AWS アカウントですべての CloudFormation スタックの表示を必要とする IAM プリンシパルに適しています。以下のサンプルポリシーは、アカウント内の CloudFormation スタックの詳細を表示するアクセス許可を付与します。

{ 
  "Version": "2012-10-17",		 	 	 		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:DescribeStacks",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStackResource",
        "cloudformation:DescribeStackResources"
      ],
      "Resource": "*"
    }
  ]
}

テンプレートに基づくスタック作成を許可

以下のサンプルポリシーは、IAM プリンシパルが特定の Amazon Simple Storage Service (Amazon S3) バケットに保存されている CloudFormation テンプレートのみを使用してスタックを作成できるようにします。バケット名は my-CFN-templates です。このバケットに承認済みのテンプレートをアップロードできます。ポリシーの cloudformation:TemplateUrl 条件キーは IAM プリンシパルが他のテンプレートを使用してスタックを作成するのを防ぎます。

{
  "Version": "2012-10-17",		 	 	 		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:CreateStack"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloudformation:TemplateUrl": "https:// my-CFN-templates.s3.amazonaws.com/*"
        }
      }
    }
  ]
}

スタックの更新または削除を拒否する

ビジネスクリティカルな AWS リソースをプロビジョニングする特定の CloudFormation スタックを保護するために、その特定のスタックに対する更新と削除のアクションを制限できます。指定された少数の IAM プリンシパルに対してのみこれらのアクションを許可し、環境内の他の IAM プリンシパルに対しては拒否できます。以下のポリシーステートメントは、特定の AWS リージョンおよび AWS アカウントの特定の CloudFormation スタックを更新または削除するためのアクセス許可を拒否します。

{
  "Version": "2012-10-17",		 	 	 		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloudformation:DeleteStack",
        "cloudformation:UpdateStack"
      ],
      "Resource": "arn:aws:cloudformation:us-east-1:123456789012:stack/MyProductionStack/<stack_ID>"
    }
  ]
}

このポリシーステートメントは、us-east-1 AWS リージョンと 123456789012 AWS アカウントにある MyProductionStack CloudFormation スタックの更新または削除のためのアクセス許可を拒否します。スタック ID は CloudFormation コンソールで確認できます。以下は、ユースケースに合わせてこのステートメントの Resource 要素を変更する方法の例です。

重要な手順として、このステートメントをどのポリシーに含めるかの決定があります。このステートメントは以下のポリシーに追加できます。