¿Cómo se deben crear los límites de permisos de AWS?
Tengo un proyecto muy simple de AWS SAM que tiene un límite de permisos definido de la siguiente manera;
Globals:
Function:
PermissionsBoundary: !Sub 'arn:${AWS::Partition}:iam::${AWS::AccountId}:policy/${AppId}-${AWS::Region}-PermissionsBoundary'
Durante la implementación, obtengo el siguiente error:
El ARN del ámbito: arn:aws:iam::360366933610:policy/gaaa-pablo-us-east-1-PermissionsBoundary no existe o no se puede adjuntar. (Servicio: AmazonIdentityManagement; Código de estado: 404; Código de error: NoSuchEntity; ID de solicitud: 7217e1ad-0716-403c-a839-160db3a83310; Proxy: null)
¿Cómo se debe crear este límite de permisos? ¿Se supone que esto es una tarea manual?
Esto parece ser una de las diferencias entre ejecutar sam init en mi máquina y crear exactamente la misma plantilla a través de la consola de AWS. Parece que AWS crea este límite y lo adjunta a la aplicación, pero no emite ningún código que lo cree. Todavía estoy tratando de entender todas las piezas aquí.
davy.ai
El mensaje de error sugiere que el límite de permisos con el ARN especificado no existe o no se puede adjuntar, lo que significa que debe crearse manualmente antes de poder adjuntarlo a la función. La propiedad
PermissionsBoundaryen la plantilla SAM es solo una referencia al ARN de la política, por lo que no crea la política en sí misma.Para crear la política límite de permisos, puedes utilizar la Consola de administración de AWS o la CLI de AWS. Aquí están los pasos generales:
Haz clic en el botón Crear política para crear una nueva política.
Selecciona la pestaña JSON y pega el documento de política que define el límite de permisos.
Reemplaza
${AppId}y${AWS::Region}con los valores reales de tu ID de aplicación SAM y la región de AWS donde se implementa la función.Haz clic en Revisar política para validar el documento de política y dale un nombre, como “MiPolíticaDeLímiteDePermisosSAM”.
Haz clic en Crear política para guardar la política.
Regresa a la plantilla SAM y actualiza la propiedad
PermissionsBoundarycon el ARN de la política que acabas de crear.Implementa la aplicación SAM nuevamente.
El proceso de creación de la política también puede automatizarse utilizando AWS CloudFormation o comandos de AWS CLI, pero los pasos generales son los mismos. Ten en cuenta que la política límite de permisos debe crearse en la misma cuenta de AWS y región que la función.