IAM PassRole限制

Question

创建CF时，我需要权限将执行角色传递给Lambda。因此，我给出了用于创建CF的角色如下：

Effect: Allow
Action:
  - iam:PassRole
Resource:
  - "myexecutionrole"

因此，现在我的CF角色可以将执行角色传递给任何资源。我想限制这一点。我只希望它能够将角色传递给Lambda函数。所以我一直在研究政策条件，在这里我只找到了限制呼叫来源的解决方案，而不是目标。那是我想要的吗?怎么可能？

Answer 1

你可以用iam:AssociatedResourceArn。来自文档

指定资源的ARN，该角色将在目标服务中与其关联。