Sie wandeln eine bestehende, ephemere AWS-Nichtproduktionsumgebung in eine CloudFormation-Vorlage um. Die Umgebung umfasst eine EC2-Instance, deren Instance-Profil es ihr ermöglicht, eine Rolle in einem übergeordneten Konto zu übernehmen. Sie haben die Rolle in einem CloudFormation-Stack neu erstellt (unter Verwendung desselben Rollennamens) und den Stack im untergeordneten Konto bereitgestellt. Danach kann die EC2-Instance die Rolle im übergeordneten Konto aufgrund unzureichender Berechtigungen nicht übernehmen. Was sollten Sie tun, um das Problem zu beheben?

Die EC2-Instance kann die Rolle im übergeordneten Konto nicht übernehmen, weil die Vertrauensrichtlinie der Rolle im übergeordneten Konto nicht korrekt konfiguriert ist. Diese Richtlinie muss dem Principal (in diesem Fall dem Instance-Profil oder der Rolle, die die EC2-Instance im untergeordneten Konto annimmt) explizit erlauben, die Aktion sts:AssumeRole auszuführen. Da die Rolle im untergeordneten Konto neu erstellt wurde, ist es wahrscheinlich, dass der Principal-ARN in der Vertrauensrichtlinie des übergeordneten Kontos nicht mehr aktuell ist oder nicht korrekt auf die neue Rolle verweist. Die Aktualisierung der Vertrauensrichtlinie mit dem korrekten Principal-ARN des Instance-Profils/der Rolle im untergeordneten Konto löst das Problem. Die Option, den Root-Principal des untergeordneten Kontos hinzuzufügen, ist zu weit gefasst und stellt ein Sicherheitsrisiko dar. Die Optionen zum Aktualisieren des CloudFormation-Stacks mit CAPABILITYIAM oder CAPABILITYNAMEDIAM sind irrelevant, da diese Fähigkeiten nur für die Erstellung von IAM-Ressourcen innerhalb des Stacks benötigt werden und nicht die Vertrauensbeziehung zwischen Konten steuern.