AWS CDK でカスタムリソースを使ってアカウントパスワードポリシーを設定してみた

import * as cdk from 'aws-cdk-lib';
import { Construct } from 'constructs';
import * as iam from 'aws-cdk-lib/aws-iam';
import * as cr from 'aws-cdk-lib/custom-resources';

export class MainStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props: cdk.StackProps) {
    super(scope, id, props);

    new cr.AwsCustomResource(this, 'PasswordPolicyUpdater', {
      onCreate: {
        service: 'IAM',
        action: 'updateAccountPasswordPolicy',
        parameters: {
          // パスワードの強度要件
          MinimumPasswordLength: 10, // パスワードの最小文字数
          RequireUppercaseCharacters: true, // 少なくとも 1 つのアルファベットの大文字 (A～Z) が必要
          RequireLowercaseCharacters: true, // 少なくとも 1 つのアルファベットの小文字 (a～z) が必要
          RequireNumbers: true, // 少なくとも 1 つの数字が必要
          RequireSymbols: true, // 少なくとも 1 つの英数字以外の文字が必要 (! @ # $ % ^ & * ( ) _ + - = [ ] {} | ')
          // その他の要件
          MaxPasswordAge: 90, // パスワードの有効期限（日）
          HardExpiry: false, // パスワードの有効期限切れ後に管理者のリセットが必要
          AllowUsersToChangePassword: true, // ユーザーにパスワードの変更を許可
          PasswordReusePrevention: 3, // パスワードの再利用を禁止する回数
        },
        physicalResourceId: cr.PhysicalResourceId.of(
          'AccountPasswordPolicyUpdater'
        ),
      },
      onDelete: {
        service: 'IAM',
        action: 'deleteAccountPasswordPolicy',
        physicalResourceId: cr.PhysicalResourceId.of(
          'AccountPasswordPolicyUpdater'
        ),
      },
      policy: cr.AwsCustomResourcePolicy.fromStatements([
        new iam.PolicyStatement({
          actions: [
            'iam:UpdateAccountPasswordPolicy',
            'iam:DeleteAccountPasswordPolicy',
          ],
          resources: ['*'],
        }),
      ]),
    });
  }
}