CloudFormation StackSetsのターゲットアカウントゲートを試してみた

StackSetsオペレーション前に簡単なチェックができるよ

#CloudFormation StackSets

#AWS CloudFormation

#AWS

恩塚伸一郎

2022.08.02

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、おんづか（@onzuka_muscle）です！

みなさんAWS CloudFormation StackSetsにターゲットアカウントゲートという機能があることをご存知でしょうか。

アカウントゲートは、「AWS Lambda」関数を指定して、AWS CloudFormation StackSets でそのアカウントのスタックオペレーションが開始する前に、ターゲットアカウントが特定の要件を満たしていることを検証できるオプション機能です。

つまりこういうイメージでオペレーション前のチェックができるようです。

やってみた

ターゲットアカウントにLambda関数を作成

ドキュメントに載っていた必ずFAILEDステータスを返すサンプルCloudFormationテンプレートで試してみたいと思います。

Lambdaを作成するのはターゲットアカウントです。

管理者アカウントではないので注意してください。

作成されたLambda関数がこちらです。

（なぜかコード内のステータスがFAILになってたのでFAILEDに書き換えてます。）

注意点として関数名はAWSCloudFormationStackSetAccountGateにする必要があります。

Lambda関数にリソースベースポリシー追加

管理者アカウントがLambda関数を呼び出せるようにアクセス許可を与える必要があります。

Lambda関数>設定>アクセス権限を開き、リソースベースポリシーより「アクセス権限を追加」をクリックします。

アクションはlambda:InvokeFunctionを選択し、管理者カウントのIDを入力します。

出来上がったポリシーを参考に載せておきます。

{
  "Version": "2012-10-17",
  "Id": "default",
  "Statement": [
    {
      "Sid": "test-account-gate",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::{管理者アカウント}:root"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:us-east-1:{ターゲットアカウント}:function:AWSCloudFormationStackSetAccountGate"
    }
  ]
}