因此,如果我要为开发人员创建一个联合开发人员角色 (duh) 并以 cf 模板的形式将其推送到 AWS,那么该角色的名称就是我所命名的。但由于某种原因,如果该角色是为 AWS 服务/资源设计的(例如,用于 EC2 实例的 Lambda 角色),则该角色会附加一个看似随机的 12 个字符的字符串。
例如:iam-lam-role-85C94J38RDE2
为什么 CloudFormation 会自动附加它?
因此,如果我要为开发人员创建一个联合开发人员角色 (duh) 并以 cf 模板的形式将其推送到 AWS,那么该角色的名称就是我所命名的。但由于某种原因,如果该角色是为 AWS 服务/资源设计的(例如,用于 EC2 实例的 Lambda 角色),则该角色会附加一个看似随机的 12 个字符的字符串。
例如:iam-lam-role-85C94J38RDE2
为什么 CloudFormation 会自动附加它?
CloudFormation 将随机字符附加到物理 ID,因此 2 个 IAM 角色之间不会发生名称冲突。在给定的 AWS 账户中,不能有 2 个同名的 IAM 角色。
如果您要创建 2 个 CloudFormation 堆栈,每个堆栈都包含一个具有相同逻辑 ID(例如MyRole
)的 IAM 角色,那么创建的 IAM 角色将会发生名称冲突。这就是 CloudFormation 为您的 IAM 角色(例如MyRole-85C94J38RDE2
和MyRole-78DM29SKFJD8
)生成随机名称的原因。
如果您想为您的 IAM 角色分配一个固定名称,您可以使用RoleName
属性。
请参阅 CloudFormation 文档的名称类型部分:
默认情况下,AWS CloudFormation 会生成一个唯一的物理 ID 来命名资源。例如,AWS CloudFormation 可能会使用以下物理 ID 命名 Amazon S3 存储桶
stack123123123123-s3bucket-abcdefghijk1
。[...]如果要使用自定义名称,请在 AWS CloudFormation 模板中为该资源指定名称属性。
对于AWS::IAM::Role
(支持自定义名称的资源之一),指定RoleName
属性以提供自定义名称。
您的问题表明默认物理 ID 实际上会根据资源中AssumeRolePolicyDocument
属性的内容而变化AWS::IAM::Role
。我在实践中没有观察到任何此类行为,因此我认为您可能RoleName
为一个资源指定了 a 而不是另一个资源。