Mevcut, geçici bir üretim dışı AWS ortamını bir CloudFormation şablonuna dönüştürüyorsunuz. Ortam, bir üst hesaptaki bir rolü üstlenmesine izin veren bir örnek profiline sahip bir EC2 örneği içerir. Rolü bir CloudFormation yığınında (aynı rol adını kullanarak) yeniden oluşturdunuz ve yığını alt hesaba dağıttınız. Daha sonra, EC2 örneği yetersiz izinler nedeniyle üst hesaptaki rolü üstlenemiyor. Sorunu düzeltmek için ne yapmalısınız?

EC2 örneği, üst hesaptaki bir rolü üstlenemiyorsa, bu genellikle rolün güven politikasının, EC2 örneğinin çalıştığı alt hesaptaki doğru principal'a (örneğin, EC2 rolünün ARN'si) sts:AssumeRole izni vermemesinden kaynaklanır. CloudFormation ile rolü yeniden oluşturduğunuzda, güven politikası doğru şekilde yapılandırılmamış olabilir veya eski bir yapılandırma kalmış olabilir. Bu nedenle, üst hesaptaki rolün güven politikasını kontrol etmek ve EC2 örneğinin üstlenmesi gereken rolün ARN'sinin doğru bir şekilde sts:AssumeRole eylemine izin verdiğinden emin olmak gerekir. Diğer seçenekler neden yanlış: Alt hesabın root principal'ına izin vermek, en az ayrıcalık ilkesini ihlal eder ve EC2 örneğinin kendisi yerine tüm alt hesaba yetki verir. CAPABILITYNAMEDIAM veya CAPABILITYIAM özellikleri, CloudFormation'ın IAM kaynakları oluşturmasına veya güncellemesine izin verir, ancak mevcut bir rolün güven politikasındaki yanlış yapılandırmayı otomatik olarak düzeltmez. Bu yetenekler, CloudFormation yığınını dağıtırken veya güncellerken IAM kaynakları için açıkça izin verilmesini sağlar, ancak bu durumda sorun, rolün güven politikasının içeriğindedir.