メモ。AWSのポリシードキュメントをハッシュから ConverTo-Json で生成するときは Version キーが最初に来るように注意する必要がある。

現象

PowerShellで次のようにポリシーを設定しようとすると...

PS> $policyDoc = ( @{
>>                 "Version" = "2012-10-17";
>>                 "Statement" = @{
>>                     "Effect" = "Allow";
>>                     "Action" = "sts:AssumeRole";
>>                     "Resource" = $RoleArn
>>                 }
>>             } | ConvertTo-Json )
PS> Write-IAMGroupPolicy -GroupName $GroupName -PolicyName $PolicyName -PolicyDocument $policyDoc

次のようなエラーになる。

Write-IAMGroupPolicy : The policy failed legacy parsing

原因

Version ポリシー要素が Statement 要素より前に来ないといけない。

Version ポリシー要素は、このポリシーを処理するために使用される言語構文ルールを指定します。ポリシーの使用可能なすべての機能を使用するには、すべてのポリシーの Statement 要素の前に以下の Version 要素を含めます。
（IAM JSON ポリシーの要素:Version - AWS Identity and Access Management）

ConvertTo-Json で生成されたポリシードキュメントでは Statement の方が先に来ていたため、エラーになっていた。

対策

元データを通常のハッシュではなく順序付きハッシュテーブルとして作成すればよい。つまり @{...} ではなく [ordered]{...} で生成する。

PS> $policyDoc = ( [ordered]@{
>>                 "Version" = "2012-10-17";
>>                 "Statement" = @{
>>                     "Effect" = "Allow";
>>                     "Action" = "sts:AssumeRole";
>>                     "Resource" = $RoleArn
>>                 }
>>             } | ConvertTo-Json )
PS> Write-IAMGroupPolicy -GroupName $GroupName -PolicyName $PolicyName -PolicyDocument $policyDoc

参照