Вы преобразуете существующую, эфемерную непроизводственную среду AWS в шаблон CloudFormation. Среда включает инстанс EC2, профиль инстанса которого позволяет ему принимать роль в родительской учетной записи. Вы воссоздали роль в стеке CloudFormation (используя то же имя роли) и развернули стек в дочерней учетной записи. После этого инстанс EC2 не может принять роль в родительской учетной записи из-за недостаточных разрешений. Что следует сделать, чтобы исправить проблему?

Проблема возникает из-за того, что политика доверия роли, которую инстанс EC2 должен принимать в родительской учетной записи, не была обновлена после развертывания стека CloudFormation в дочерней учетной записи. Когда вы создаете роль в CloudFormation, она получает новый уникальный ARN. Даже если имя роли совпадает, ARN будет другим. Политика доверия роли в родительской учетной записи должна явно доверять ARN роли, созданной в дочерней учетной записи. Вариант "В родительской учетной записи измените политику доверия роли, чтобы добавить оператор, который разрешает действие sts:AssumeRole для корневого субъекта дочерней учетной записи" неверен, так как предоставление доверия корневому субъекту учетной записи слишком широко и не соответствует принципу наименьших привилегий. Варианты, связанные с CAPABILITYIAM и CAPABILITYNAMEDIAM, не решают проблему доверия между учетными записями; они лишь указывают CloudFormation на разрешение создания ресурсов IAM с пользовательскими именами или без них.