使用 CodeBuild 条件键作为 IAM 服务角色变量来控制构建访问权限

借助 CodeBuild 构建 ARN，您可以使用上下文键来缩小 CodeBuild 服务角色中的资源访问权限范围，从而限制构建资源访问权限。对于 CodeBuild，可用于控制构建访问权限行为的键为 codebuild:buildArn 和 codebuild:projectArn。使用构建项目 ARN，您可以验证对资源的调用是否来自特定的构建项目。要验证这一点，请在 IAM 基于身份的策略中使用 codebuild:buildArn 或 codebuild:projectArn 条件键。

要在策略中使用 codebuild:buildArn 或 codebuild:projectArn 条件键，请将其作为条件与任何 ARN 条件运算符结合使用。键的值必须是解析为有效 ARN 的 IAM 变量。在下面的示例策略中，支持的唯一访问权限将是使用 ${codebuild:projectArn} IAM 变量的项目 ARN 访问构建项目。