기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

CloudFormation 후크에 대한 IAM 권한 부여

기본적으로의 새 사용자는 AWS Management Console, AWS Command Line Interface (AWS CLI) 또는 AWS API를 사용하여 후크를 관리할 권한이 AWS 계정 없습니다. 사용자에게 권한을 부여하기 위해 IAM 관리자는 IAM 정책을 생성할 수 있습니다. 그런 다음 관리자가 IAM 정책을 역할에 추가하고, 사용자가 역할을 맡을 수 있습니다.

이 주제의 정책 예제를 사용하여 사용자 지정 IAM 정책을 생성하여 사용자에게 후크 작업 권한을 부여합니다.

이러한 예제 JSON 정책 문서를 사용하여 IAM 자격 증명 기반 정책을 생성하는 방법을 알아보려면 IAM 사용 설명서의 고객 관리형 정책을 사용하여 사용자 지정 IAM 권한 정의를 참조하세요.

이 주제에서는 다음을 수행하는 데 필요한 권한을 다룹니다.

IAM 정책을 생성할 때 cloudformation 서비스 권한 부여 참조의 작업, 리소스 및 조건 키 섹션에서 서비스 접두사와 연결된 모든 작업, 리소스 및 조건 키에 대한 AWS CloudFormation 설명서를 찾을 수 있습니다.

사용자가 후크를 관리하도록 허용

사용자가 CloudFormation 레지스트리에서 공개하지 않고 후크를 포함한 확장을 관리하도록 허용해야 하는 경우 다음 예제 IAM 정책을 사용할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:ActivateType",
                "cloudformation:DescribeType",
                "cloudformation:ListTypes",
                "cloudformation:SetTypeConfiguration"
            ],
            "Resource": "*"
        }
    ]
}

후크를 관리하는 사용자에게는 몇 가지 관련 권한이 필요할 수 있습니다. 예를 들어 CloudFormation 콘솔의 Control Catalog에서 제어를 보려면 사용자에게 IAM 정책에 대한 controlcatalog:ListControls 권한이 있어야 합니다. CloudFormation 레지스트리에서 사용자 지정 후크를 프라이빗 확장으로 등록하려면 사용자에게 IAM 정책에 대한 cloudformation:RegisterType 권한이 있어야 합니다.

사용자가 사용자 지정 후크를 공개적으로 게시하도록 허용

다음 예제 IAM 정책은 게시 기능에 특히 중점을 둡니다. 사용자가 CloudFormation 레지스트리에서 후크를 포함한 확장을 공개적으로 사용할 수 있도록 허용해야 하는 경우이 정책을 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:DescribePublisher",
                "cloudformation:DescribeTypeRegistration",
                "cloudformation:ListTypes",
                "cloudformation:ListTypeVersions",
                "cloudformation:PublishType",
                "cloudformation:RegisterPublisher",
                "cloudformation:RegisterType",
                "cloudformation:TestType"
            ],
            "Resource": "*"
        }
    ]
}

사용자가 호출 결과를 요청하도록 허용

후크 호출 결과를 보는 데 필요한 IAM 권한은 수행 중인 API 요청에 따라 달라집니다.

다음은 후크 호출 결과를 요청하기 위한 기본 권한 정책의 예입니다. 이 정책의 IAM 자격 증명(사용자 또는 역할)에는 사용 가능한 모든 파라미터 조합을 사용하여 모든 호출 결과를 요청할 수 있는 권한이 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:ListAllHookResults",
                "cloudformation:ListHookResults"
            ],
            "Resource": "*"
        }
    ]
}

지정할 수 있는 변경 세트 제어

다음 예제 IAM 정책은 후크의 대상을 지정하여 결과를 요청할 수 있는 권한을 cloudformation:ListHookResults 작업에 부여합니다. 그러나 대상이 라는 변경 세트인 경우에도 작업을 거부합니다example-changeset.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:ListHookResults"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "cloudformation:ListHookResults"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudformation:ChangeSetName": "example-changeset"
                }
            }
        }
    ]
}

지정할 수 있는 후크 제어

다음 예제 IAM 정책은 요청에 후크의 ARN이 제공된 경우에만 호출 결과를 요청할 수 있는 권한을 cloudformation:ListAllHookResults 작업에 부여합니다. 지정된 후크 ARN에 대한 작업을 거부합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:ListAllHookResults"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "cloudformation:ListAllHookResults"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloudformation:TypeArn": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "cloudformation:ListAllHookResults"
            ],
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "cloudformation:TypeArn": "arn:aws:cloudformation:us-east-1:123456789012:type/hook/MyCompany-MyHook"
                }
            }
        }
    ]
}