如何在 CloudFormation 中为 IndentityPoolRoleAttachment 设置动态 RoleMappings 键

Question

我正在构建一个堆栈来初始化Cognito 安装。作为其中的一部分，我设置了具有相关角色的用户组。我需要设置Choose role from token 选项，允许身份使用他们所分配到的组中的角色。

这是通过IndentityPoolRoleAttachment 对象中的RoleMappings 对象完成的。此映射对象是一个string -> object 映射，其中字符串表示身份提供者。就我而言，这是：

cognito-idp.${some-region}.amazonaws.com/${some-userpool-id}:${some-pool-client-id}

显然，这需要根据堆栈中的值动态构建，但我还没有找到以语法正确的方式执行此操作的方法。使用Ref 和Fn::Sub 都会导致语法错误。 yaml 和 json 语法我都试过了。

我是否遗漏了一些明显的东西？

Answer 1

最近被这个问题困住了，我从@AkkarinZA 的评论访问了the thread。

在那个帖子中，@mikef 的回复对我有用。我们可以使用cognitoProvider 键。

RoleMappings:
     cognitoProvider:
       IdentityProvider: 
        Fn::Join:
          - ''
          - - "cognito-idp.${self:provider.region}.amazonaws.com/"
            - !Ref CustomerUserPool
            - ':'
            - !Ref CustomerUserPoolClient
       AmbiguousRoleResolution: Deny
       Type: Rules
       RulesConfiguration:
          Rules:
            - Claim: cognito:groups
              MatchType: Contains
              Value: "clients"
              RoleARN:
                { Fn::GetAtt: [UserIdentityPoolClientRole, Arn] }