Vous convertissez un environnement AWS non-production éphémère existant en un modèle CloudFormation. L'environnement comprend une instance EC2 dont le profil d'instance lui permet d'assumer un rôle dans un compte parent. Vous avez recréé le rôle dans une pile CloudFormation (en utilisant le même nom de rôle) et déployé la pile dans le compte enfant. Par la suite, l'instance EC2 ne peut pas assumer le rôle dans le compte parent en raison d'autorisations insuffisantes. Que devez-vous faire pour résoudre le problème ?

L'instance EC2 ne peut pas assumer le rôle dans le compte parent car la politique d'approbation du rôle parent n'a pas été mise à jour pour inclure le nouveau rôle d'instance EC2 du compte enfant. Même si le rôle du compte enfant a le même nom, son ARN est différent après sa recréation via CloudFormation. La politique d'approbation du rôle parent doit explicitement autoriser l'action sts:AssumeRole pour l'ARN exact du profil d'instance EC2 du compte enfant. Les autres options sont incorrectes car : Modifier la politique d'approbation pour autoriser le principal root du compte enfant accorderait des autorisations trop larges et ne ciblerait pas spécifiquement le rôle de l'instance EC2. Spécifier CAPABILITYNAMEDIAM ou CAPABILITYIAM lors de la mise à jour de la pile CloudFormation est nécessaire pour créer ou modifier des ressources IAM, mais cela ne résout pas le problème de la politique d'approbation du rôle parent, qui est une ressource distincte dans un autre compte.