步骤 2：为创建服务角色 CodeDeploy

登录Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在导航窗格中，选择 Roles (角色)，然后选择 Create role (创建角色)。

选择Amazon服务，然后在用例下的下拉列表中选择CodeDeploy。

选择您的用例：

选择下一步。

在 “添加权限” 页面上，将显示该用例的正确权限策略。选择下一步。

在 “名称、查看和创建” 页面的角色名称中，输入服务角色的名称（例如，CodeDeployServiceRole），然后选择创建角色。

您也可以在角色描述中输入此服务角色的描述。

如果您希望此服务角色有权访问所有当前支持的终端节点，则您已完成了此过程。

要限制此服务角色访问某些端点，请继续执行此过程中的其余步骤。

在角色列表中，搜索并选择您刚刚创建的角色（CodeDeployServiceRole）。

选择 Trust relationships (信任关系) 选项卡。

选择 Edit trust policy（编辑信任策略）。

您应该看到以下策略，该策略向服务角色提供访问所有支持的终端节点的权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

例如，在您的开发计算机上，创建一个名为 CodeDeployDemo-Trust.json 的文本文件。使用此文件可允许 CodeDeploy 代表您执行操作。

在文件中保存以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

从相同的目录调用 create-role 命令，根据刚刚创建的文本文件中的信息创建名为 CodeDeployServiceRole 的服务角色：

aws iam create-role --role-name CodeDeployServiceRole --assume-role-policy-document file://CodeDeployDemo-Trust.json

在命令输出中，记录 Arn 对象下方 Role 条目的值。稍后创建部署组时将需要它。如果您忘记了值，请按照获取服务角色 ARN (CLI) 中的说明操作。

根据名为的 IAM 托管策略CodeDeployServiceRole，调用attach-role-policy命令为名为的服务角色授予权限AWSCodeDeployRole。例如：

aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws:-cn:iam::aws:policy/service-role/AWSCodeDeployRole

登录 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在筛选条件框中，键入 CodeDeployServiceRole，然后按 Enter。

选择CodeDeployServiceRole。

记下 Role ARN (角色 ARN) 字段的值。