@zetzetn (zetzetn)posted at 2021-10-13

AWS CLIエラー：”no identity-based policy allows the cloudformation:DescribeStacks action”を解決したい

Q&A

Closed

AWS CLI CloudFormation

解決したいこと

AWS CLIを使いCloudFormationのデプロイを行おうとしたところ、エラーが発生しました。

エラーが何を言っているか分からず、何についてのエラーなのか分かる方がおられましたらご教示いただけますと幸いです。

発生している問題・エラー

An error occurred (AccessDenied) when calling the DescribeStacks operation: User: arn : aws : iam:458112670360:user/ec2-user is not authorized to perform: cloudformation:DescribeStacks on resource: arn : aws :cloudformation:ap-northeast-1:458112670360:stack/RDSmySQLcreate/* because no identity-based policy allows the cloudformation:DescribeStacks action

ターミナルにて打ち込んだコマンド

aws cloudformation deploy --template-file stack.yml --stack-name RDSmySQLcreate --parameter-overrides $(cat dev.cfg)

フォルダ構成とconfig/credentialsファイル

・フォルダ構成

[config]

[default]
region = ap-northeast-1
output = json

[credentials]

[default]
aws_access_key_id = AAAAAAAAAAAAAAAAAA
aws_secret_access_key = BBBBBBBBBBBBBBBBBBBBBB

エラー文を見るとDescribeStacks actionがidentity-based policyで許可されていないとのことですが、
ポリシーの許可を割り振る必要があるということかと推測しています。
ただ、エラーについて検索しても出てこず詰まってしまっています。
どう対処したらいいのか分かる方がおられましたらご教示いただけますと幸いです。

2Answer

@ryo_hagi posted at 2021-10-13

iam:458112670360:user/ec2-userにcloudformation:DescribeStacksの権限がないらしいです。つまり「ec2-user」というIAMユーザーにcloudformation:DescribeStacksをつければ解決します。

ちゃんとやる方法

IAMコンソール開く
ポリシーを選択
ポリシーを作成
サービスに「cloudformation」を選択
アクションのアクセスレベルの「リスト」から「DescribeStacks」を選択してチェックを入れる
リソースはとりあえず「すべてのリソース」を選択
次に行って、タグもとりあえずいらないと思うので、最後にポリシー名を命名して「ポリシーを作成」
IAMユーザーの属するIAMグループに上記で作成したポリシーを付与(IAMグループがあれば。グループ作成していないのならココ飛ばしてください。)
ユーザーから「ec2-user」を選択
アクセス権限の追加　→ 既存のポリシーをアタッチで先ほど作成したポリシーを選択してアタッチする。

手っ取り早くやる方法

IAMコンソール開く
ユーザーを選択
ec2-userを選択
アクセス権限の追加　→ 既存のポリシーをアタッチ
「cloudformation」で検索して「AWSCloudFormationFullAccess」などをアタッチする(良い方法ではないです)

2Like

@zetzetn posted at 2021-10-14

Ryo Hagiwaraさん

権限を付与したところ、cloudformationのデプロイをすることが出来ました。

IAMポリシーの付与がすぐ頭に出てこず、ご教授いただけて助かりました。

（今回の事でAWS CLIやIAM周りがまだまだだなぁ、、、と痛感しました）

ありがとうございました

1Like

Are you sure you want to delete the question?