本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
管理 Amazon CodeBuild 资源访问权限概述
每个 Amazon 资源都归一个 Amazon 账户所有，创建或访问资源的权限受权限策略的约束。账户管理员可以将权限策略附加到IAM身份（即用户、群组和角色）。
注意
帐户管理员（或管理员用户）是具有管理员权限的用户。有关更多信息，请参阅《IAM用户指南》中的IAM最佳实践。
在您授予权限时，您要决定谁将获得权限、这些人可以访问的资源以及可以对这些资源执行的操作。
Amazon CodeBuild 资源和运营
在中 Amazon CodeBuild，主要资源是构建项目。在策略中，您可以使用 Amazon 资源名称 (ARN) 来标识该政策适用的资源。构建也是资源，并且ARNs与之相关联。有关更多信息，请参阅中的 Amazon 资源名称 (ARN) 和 Amazon 服务命名空间。Amazon Web Services 一般参考
| 资源类型 | ARN格式 |
|---|---|
| 构建项目 |
|
| 构建 |
|
| 报告组 | arn:aws:codebuild: |
| 报告 | arn:aws:codebuild: |
| 实例集 |
|
|
所有 CodeBuild 资源 |
|
|
指定 Amazon 区域中指定账户拥有的所有 CodeBuild 资源 |
|
重要
使用预留容量功能时，同一账户内的其他项目可以访问队列实例上缓存的数据，包括源文件、Docker 层和 buildspec 中指定的缓存目录。这是设计使然，允许同一账户内的项目共享队列实例。
注意
大多数 Amazon 服务都将冒号 (:) 或正斜杠 (/) 视为中的ARNs相同字符。但是，在资源模式和规则中 CodeBuild 使用精确匹配。创建事件模式时，请务必使用正确的字符，使其与资源中的ARN语法相匹配。
例如，您可以指定一个特定的构建项目 (myBuildProject) 在你的陈述中使用它ARN如下：
"Resource": "arn:aws:codebuild:us-east-2:123456789012:project/myBuildProject"
要指定所有资源，或者如果某个API操作不支持ARNs，请在Resource元素中使用通配符 (*)，如下所示：
"Resource": "*"
有些 CodeBuild API操作接受多个资源（例如，BatchGetProjects）。要在单个语句中指定多个资源，请ARNs用逗号分隔它们，如下所示：
"Resource": [ "arn:aws:codebuild:us-east-2:123456789012:project/myBuildProject", "arn:aws:codebuild:us-east-2:123456789012:project/myOtherBuildProject" ]
CodeBuild 提供了一组使用 CodeBuild 资源的操作。有关列表，请参阅Amazon CodeBuild 权限参考。
了解资源所有权
该 Amazon 账户拥有在账户中创建的资源，无论谁创建了这些资源。具体而言，资源所有者是对 Amazon 资源创建请求进行身份验证的委托人实体（即根账户、用户或IAM角色）的账户。以下示例说明了它的工作原理：
-
如果您使用账户的根账户证书创建规则，则您的 Amazon 账户就是该 CodeBuild 资源的所有者。 Amazon
-
如果您在 Amazon 账户中创建用户并向该用户授予创建 CodeBuild 资源的权限，则该用户可以创建 CodeBuild 资源。但是，该用户所属的您的 Amazon 账户拥有这些 CodeBuild资源。
-
如果您在 Amazon 账户中创建具有创建 CodeBuild 资源权限的IAM角色，则任何能够担任该角色的人都可以创建 CodeBuild资源。该角色所属的 Amazon 账户拥有这些 CodeBuild资源。
管理对 资源的访问
权限策略规定谁可以访问哪些资源。
注意
本节讨论在IAM中的用法 Amazon CodeBuild。它不提供有关IAM服务的详细信息。有关完整IAM文档，请参阅什么是IAM？ 在《IAM用户指南》中。有关IAM策略语法和描述的信息，请参阅IAM用户指南中的Amazon IAM策略参考。
附加到IAM身份的策略称为基于身份的策略（IAM策略）。附加到资源的策略称为基于资源的策略。 CodeBuild 支持基于身份的策略，以及APIs出于跨账户资源共享目的的某些只读策略和基于资源的策略。
对 S3 存储桶的安全访问
我们强烈建议您在IAM角色中包含以下权限，以验证与您的 CodeBuild 项目关联的 S3 存储桶是否归您或您信任的人所有。这些权限不包含在 Amazon 托管策略和角色中。您必须自行添加。
-
s3:GetBucketAcl -
s3:GetBucketLocation
如果您的项目使用的 S3 存储桶的所有者发生变化，则必须确认您仍然拥有该存储桶，如果没有，则必须更新IAM角色中的权限。有关更多信息，请参阅允许用户与之互动 CodeBuild 和 CodeBuild 允许与其他 Amazon 服务进行交互。
指定策略元素：操作、效果和主体
对于每种 Amazon CodeBuild 资源，该服务都定义了一组API操作。要授予这些API操作的权限，请 CodeBuild 定义一组可以在策略中指定的操作。某些API操作可能需要多个操作的权限才能执行该API操作。有关更多信息，请参阅Amazon CodeBuild 资源和运营 和Amazon CodeBuild 权限参考。
以下是基本的策略元素：
-
资源 — 您可以使用 Amazon 资源名称 (ARN) 来标识该政策适用的资源。
-
操作 – 您可以使用操作关键字来标识要允许或拒绝的资源操作。例如，
codebuild:CreateProject权限授予用户执行CreateProject操作的权限。 -
效果 – 用于指定当用户请求操作时的效果（可以是允许或拒绝）。如果没有显式授予（允许）对资源的访问权限，则隐式拒绝访问。您也可显式拒绝对资源的访问。您可以执行此操作，以确保用户无法访问资源，即使有其他策略授予了访问权限也是如此。
-
委托人 — 在基于身份的策略（IAM策略）中，策略所关联的用户是隐式委托人。对于基于资源的策略，您可以指定您希望将权限授予的用户、账户、服务或其他实体。
要了解有关IAM策略语法和描述的更多信息，请参阅IAM用户指南中的Amazon IAM策略参考。
有关显示所有 CodeBuild API操作及其适用的资源的表格，请参阅Amazon CodeBuild 权限参考。