[小ネタ] CloudFormationが自動で生成するIAMロール名は、スタック名や論理IDが長いとどのように切り詰められるのか確かめてみた

こんにちは、林です。

CloudFormationで RoleName を指定せずにIAMロールを作成すると、<スタック名>-<論理ID>-<ランダムな文字列> の名前が自動で生成されます。

スタック名と論理IDが長く、IAMロール名の上限の64文字を超える場合に、名前がどのように生成されるのかを確かめてみました。

先に結論

• ロール名に使用されるスタック名と論理IDは、合計で50文字まで
• スタック名と論理IDがどちらも25文字を超える場合は、それぞれ先頭の25文字が使用される
• IAMポリシーの Resource に role/<スタック名>-* を指定している場合は、スタック名が切り詰められたロールが一致しないため、スタック名を25文字以下にするか、RoleName を指定する

ドキュメントから分かること

自動で生成される名前は、スタック名、論理ID、一意のIDの組み合わせと記載されています。
RoleName の上限は64文字と記載されています。
上限を超える場合に、どの部分が何文字使用されるのかは、ドキュメントから確認できませんでした。

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/UserGuide/resources-section-structure.html

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/TemplateReference/aws-resource-iam-role.html

検証方法

東京リージョンで、AWS::IAM::Role を対象に検証しました。

RoleName を指定しないIAMロールを5つ定義したテンプレートを用意しました。

このテンプレートから、スタック名の長さが異なる5つのスタックを作成しました。

ロール名は describe-stack-resources で確認しました。

aws cloudformation describe-stack-resources --stack-name dev-app-common \
  --query 'StackResources[].[LogicalResourceId,PhysicalResourceId]' --output text

結果

ロール名は、いずれも <スタック名>-<論理ID>-<ランダムな12文字> の形式でした。
ハイフン2つとランダムな12文字で14文字のため、スタック名と論理IDに使用されるのは合計50文字までです。

組み合わせごとの結果です。
切り詰められた側と、切り詰め後の文字数を記載しています。

切り詰められたロール名の例

スタック名が26文字、論理IDが25文字の組み合わせでは、スタック名の末尾の1文字が切り詰められました。

スタック名: prod-order-api-application
ロール名:   prod-order-api-applicatio-OrderApiTaskExecutionRole-9w02y8Ta3WrL

スタック名の25文字目がハイフンの場合は、ハイフンが2つ連続しました。

スタック名: stg-order-management-api-ecs-service-deploy-pipeline
ロール名:   stg-order-management-api--OrderApiTaskExecutionRole-IfDGwdvtuFnP

IAMポリシーでロールをワイルドカード指定している場合の注意点

特定のスタックが作成したロールに限定して操作を許可するときに、IAMポリシーの Resource にスタック名を前提にしたワイルドカードを指定することがあります。
iam:PassRole を許可する例です。

{
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::123456789012:role/prod-order-api-application-*"
}

スタック名が切り詰められたロールは、この Resource に一致しないため、許可の対象になりません。

prod-order-api-applicatio-OrderApiTaskExecutionRole-9w02y8Ta3WrL

スタック名の先頭25文字とワイルドカードで指定すると、今回のすべての組み合わせに一致しました。

arn:aws:iam::123456789012:role/prod-order-api-applicatio*

この指定は、先頭25文字が同じ別のスタックのロールにも一致します。

ロール名を固定する場合は、RoleName を指定します。
RoleName を指定したロールは、置き換えが発生する更新を実行できません。

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/TemplateReference/aws-properties-name.html

まとめ

CloudFormationが自動で生成するIAMロール名の切り詰められ方を確かめてみました。

• ロール名に使用されるスタック名と論理IDは、合計で50文字まで
• スタック名と論理IDがどちらも25文字を超える場合は、それぞれ先頭の25文字が使用される
• IAMポリシーの Resource に role/<スタック名>-* を指定している場合は、スタック名が切り詰められたロールが一致しないため、スタック名を25文字以下にするか、RoleName を指定する

この記事がどなたかの参考になれば幸いです。最後までご覧いただきありがとうございました！

参考

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/UserGuide/resources-section-structure.html

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/TemplateReference/aws-resource-iam-role.html

https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/TemplateReference/aws-properties-name.html