使用 CodeBuild 条件键作为 IAM 服务角色变量来控制构建访问权限

借助 CodeBuild 构建 ARN，您可以使用上下文密钥来缩小 CodeBuild 服务角色中的资源访问范围，从而限制构建资源的访问权限。对于 CodeBuild，可用于控制构建访问行为的密钥是codebuild:buildArn和codebuild:projectArn。使用构建项目 ARN，您可以验证对资源的调用是否来自特定的构建项目。要验证这一点，请在 IAM 基于身份的策略中使用 codebuild:buildArn 或 codebuild:projectArn 条件键。

要在策略中使用 codebuild:buildArn 或 codebuild:projectArn 条件键，请将其作为条件与任何 ARN 条件运算符结合使用。键的值必须是解析为有效 ARN 的 IAM 变量。在下面的示例策略中，支持的唯一访问权限将是使用 ${codebuild:projectArn} IAM 变量的项目 ARN 访问构建项目。