Roleが必要となります。これを「サービスロール」と呼びます。サービスにアクセス許可を委任するロールの作成Cloudformationもサービスロールを付与できるCloudformationはテンプレートに従ったAWSリソースを作成・更新・削除を行いますが、この際に使用されるIAMロールをサービスロールを指定できます。Userに付与されているRoleが使用されます。UserがAdministratorなど、十分な権限を持っている場合はサービスロールは不要ですが、チーム内できちんと権限を分けたり、部分的に外注したいといった場合には、サービスロールを意識する必要が出てきます。出来るだけ管理者がサービスロールを払い出して、Cloudformationスタック作成時にそれを利用するようにした方が健全と言えます。オススメのCloudformationサービスロール運用方針IAMベストプラクティス「最小権限を付与する」AWSのIAMベストプラクティスに従うと、IAMポリシーには「最小権限を付与する」ことが推奨されています。最小権限を付与するとはいえ、これに厳密に従うと、構築対象のAWSリソースに対してそれぞれ必要最小限の権限を洗い出す作業が発生します。Cloudformationスタックを拡張したり、別のスタックを新規作成する度に、細かな権限を設定していくのは大きな作業コストになり、あまり現実的ではありません。オススメ運用方針そこで、以下の方針でサービスロールを運用するのがいいのではないかと思います。IAMは最小権限、それ以外のリソースには全権限を付与した、共通のサービスロールを一つだけ作成し、スタック作成時に使用するIAMの最小権限は、具体的に以下の権限でいいと思います。対象リソースは全てです。iam:PassRoleiam:CreateRoleiam:DeleteRoleiam:AttachRolePolicyiam:DetachRolePolicyiam:GetRoleiam:PutRolePolicyiam:DeleteRolePolicy上記は、私がこれまでスタック構築してきた際に必要となった権限なので、場合によっては不足しているかもしれません。その場合は、必要な権限を追加してください。上記の運用方針に従ったサービスロールを作成する手順を説明します。サービスロール用のIAMの最小権限ポリシー作成まず、IAMの最小権限ポリシーの作成手順を説明します。ここで作成したポリシーを、後ほどサービスロールにアタッチします。ビジュアルエディタで先ほどの権限をポチポチ付与していってもOKです以下のjsonをコピペします。]}「ポリシーの確認」をクリックしますポリシー名と説明を入力します。ポリシーの作成」をクリックしてポリシー作成完了です。次に、サービスロールの作成手順を説明します。CloudFormationIAMポリシーをアタッチします。ポリシーのフィルタで絞り込めます。(先ほど作成したIAMの最小権限ポリシー)タグはオプションなので入力しなくてもOKですが、ここでは以下のように設定しました。Cloudformationスタックを使用したAWSリソース構築の際には、サービスロールを付与する方が健全ですが、ガチガチに固めすぎるもの現実的ではないので、程よいところで運用するのがオススメです。Cloudformationサービスロールを付与する必要性が発生したり、程よく健全な運用にしたい場合は、本記事が参考になると思います。contentsもくじCloudformationとサービスロールの関係サービスロールとはCloudformationもサービスロールを付与できるオススメのCloudformationサービスロール運用方針IAMベストプラクティス「最小権限を付与する」オススメ運用方針サービスロール作成手順サービスロール用のIAMの最小権限ポリシー作成サービスロールの作成まとめ。