amazon-web-services - pricing - cloudformation templates

El usuario no está autorizado para realizar: formación en la nube: CreateStack

Question

Estoy probando Serverless para crear AWS Lambdas y al crear un proyecto usando el comando serverless project create obtengo el siguiente error.

AccessDenied: User: arn:aws:iam::XXXXXXXXX:user/XXXXXXXXX is not authorized to perform: cloudformation:CreateStack on resource: arn:aws:cloudformation:us-east-1:XXXXXXXXX:stack/XXXXXXXXX-development-r/*

He creado un usuario y le he otorgado los siguientes permisos.

1. AWSLambdaFullAccess
2. AmazonS3FullAccess
3. CloudFrontFullAccess
4. AWSCloudFormationReadOnlyAccess (No había AWSCloudFormationFullAccess para otorgar)

¿Cómo puedo proceder? ¿Qué más permisos tengo que otorgar?

Answer 1

Con las actualizaciones recientes en AWS, la siguiente política en línea también funcionará.

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"cloudformation:DeleteStack"
],
"Resource": "*"
}
]
}

Answer 2

Cree la siguiente política:

1. Haga clic en Política -> Crear política
2. En Seleccionar servicio: escriba EKS y seleccione ''EKS''
3. En Acciones: seleccione ''Todas las acciones de EKS''
4. En Recursos: seleccione ''Todos los recursos'' o Agregar ARN
5. Haga clic en Política de revisión
6. Escriba el nombre de la política y cree la política.

Ahora, asocie esta política a la cuenta de usuario. Esto debería resolver el problema y debería poder crear la pila.

Answer 3

El más cercano que ha mencionado es AWSCloudFormationReadOnlyAccess , pero obviamente es solo de lectura y necesita información en la cloudformation:CreateStack . Agregue lo siguiente como política de usuario .

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1449904348000",
"Effect": "Allow",
"Action": [
"cloudformation:CreateStack"
],
"Resource": [
"*"
]
}
]
}

Es completamente posible que necesite más permisos, por ejemplo, para lanzar una instancia EC2, para (re) configurar grupos de seguridad, etc.

Answer 4

En mi experiencia reciente, la política requerida era

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1449904348000",
"Effect": "Allow",
"Action": [
"cloudformation:CreateStack",
"cloudformation:CreateChangeSet",
"cloudformation:ListStacks",
"cloudformation:UpdateStack",
"cloudformation:DescribeStacks",
"cloudformation:DescribeStackResource",
"cloudformation:DescribeStackEvents",
"cloudformation:ValidateTemplate",
"cloudformation:DescribeChangeSet",
"cloudformation:ExecuteChangeSet"
],
"Resource": [
"*"
]
}
]
}

Answer 5

Estos 2 me ayudaron a cruzar la línea ...

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "apigateway:*",
"Resource": "*"
}
]
}

y

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"cloudformation:ListStacks",
"cloudformation:DescribeStackEvents",
"cloudformation:CreateStack",
"cloudformation:UpdateStack",
"cloudformation:DescribeStackResource",
"cloudformation:CreateChangeSet",
"cloudformation:DescribeChangeSet",
"cloudformation:ExecuteChangeSet",
"cloudformation:ValidateTemplate"
],
"Resource": "*"
}
]
}

Answer 6

Hay una sección en los documentos sobre esto (al menos ahora).

Con un resumen que muestra las políticas JSON que recomiendan.

Answer 7

Lo que @ tedder42 dijo, pero también tuve que agregar lo siguiente a mi política de grupo antes de poder implementarlo en lambda desde dentro de Visual Studio.

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1449904348000",
"Effect": "Allow",
"Action": [
"cloudformation:CreateStack",
"cloudformation:CreateChangeSet",
"cloudformation:ListStacks",
"cloudformation:UpdateStack",
"cloudformation:DescribeChangeSet",
"cloudformation:ExecuteChangeSet"
],
"Resource": [
"*"
]
}
]
}

Answer 8

No pude hacer funcionar las versiones más cortas que se muestran arriba; lo que arregló las cosas para mí fue extender ligeramente la respuesta de @mancvso:

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1449904348000",
"Effect": "Allow",
"Action": [
"cloudformation:CreateStack",
"cloudformation:CreateChangeSet",
"cloudformation:ListStacks",
"cloudformation:UpdateStack",
"cloudformation:DescribeStacks",
"cloudformation:DescribeStackResource",
"cloudformation:DescribeStackEvents",
"cloudformation:ValidateTemplate",
"cloudformation:DescribeChangeSet",
"cloudformation:ExecuteChangeSet",
"cloudformation:GetTemplateSummary"
],
"Resource": [
"*"
]
}
]
}

Answer 9

Otorgue acceso de "administrador" al usuario que creó

Answer 10

Si tiene varios perfiles de AWS, intente explícitamente

export AWS_ACCESS_KEY_ID=<value>
export AWS_SECRET_ACCESS_KEY=<value>

antes de intentar

serverless deploy