AWS CDK - прекратить генерацию политик - PullRequest
Новая
       56

AWS CDK - прекратить генерацию политик

3 голосов
/ 08 октября 2019

Следующий код CDK 

    const queue = new sqs.Queue(this, 'my-sqs-queue', {
      visibilityTimeout: cdk.Duration.seconds(300)
    });

    const role = iam.Role.fromRoleArn(this, "myrole", "arn:aws:iam::1234:role/myrole")

    const evtHandler = new lambda.Function(this, 'MyLambda', {
      code: lambda.Code.fromInline(`
        exports.handler =  async function(event, context) {
        console.log("EVENT: \n" + JSON.stringify(event, null, 2))
        return context.logStreamName
      }`),
      handler: 'index.handler',
      runtime: lambda.Runtime.NODEJS_8_10,
      role
    });

    evtHandler.addEventSource(new SqsEventSource(queue, {
      batchSize: 10 // default
    }));

настроит лямбду, которая опрашивает SQS. Потрясающие! Тем не менее, он также генерирует этот CF 

myrolePolicy99283C52:
    Type: AWS::IAM::Policy
    Properties:
      PolicyDocument:
        Statement:
          - Action:
              - sqs:ReceiveMessage
              - sqs:ChangeMessageVisibility
              - sqs:GetQueueUrl
              - sqs:DeleteMessage
              - sqs:GetQueueAttributes
            Effect: Allow
            Resource:
              Fn::GetAtt:
                - sqseventloaderusw2tstF27FC9C7
                - Arn
        Version: "2012-10-17"
      PolicyName: snssqslambdaPolicy16AEE704
      Roles:
        - myrole

Проблема в том, что myrole уже имеет политику, которая разрешает такие вещи. Это также означает, что для выполнения этого скрипта необходимо иметь разрешения на создание / обновление политик / ролей: (* ​​1008 *

Безопасность в моей организации не будет очень рада разрешить подобные вещи. Есть ли способ остановить это? от генерации политик и прикрепления их к ролям?

1 Ответ

0 голосов
/ 16 октября 2019

Когда я занимаюсь разработкой, я обычно устанавливаю документацию в другом окне своего рабочего пространства. Вам просто нужно установить для свойства autoCreatePolicy значение false.

Согласно документам: https://docs.aws.amazon.com/cdk/api/latest/docs/@aws-cdk_aws-sqs.Queue.html#autocreatepolicy

...