Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon CodeCommit的身份验证和访问控制

访问 Amazon CodeCommit 需要凭证。这些证书必须具有访问 Amazon 资源（例如 CodeCommit 存储库）和您的 IAM 用户的权限，您可以使用这些资源来管理您的 Git 证书或用于建立 Git 连接的 SSH 公钥。以下各节详细介绍了如何使用 Amazon Identity and Access Management (IAM) 以及 CodeCommit 如何帮助保护对资源的访问：

身份验证

由于 CodeCommit 存储库基于 Git 且支持 Git 的基本功能，包括 Git 证书，因此我们建议您在使用时使用 IAM 用户。 CodeCommit您可以使用其他身份类型 CodeCommit 进行访问，但其他身份类型会受到限制，如下所述。

身份类型：

访问控制

您可以拥有有效的凭证来验证您的请求，但是除非您拥有权限，否则您无法创建或访问 CodeCommit 资源。例如，您必须拥有权限才能查看存储库、推送代码、创建和管理 Git 凭证等。

以下各节介绍如何管理的权限 CodeCommit。我们建议您先阅读概述。

管理 CodeCommit 资源访问权限概述

每个 Amazon 资源都归亚马逊云科技账户所有。创建或访问资源的权限由权限策略进行管理。账户管理员可以向 IAM 身份（即：用户、组和角色）附加权限策略。某些服务（例如） Amazon Lambda还支持将权限策略附加到资源。

在授予权限时，您确定谁获得权限、获得对哪些资源的权限以及允许对这些资源执行的具体操作。

CodeCommit 资源和运营

在中 CodeCommit，主要资源是存储库。每种资源均有相关联的唯一 Amazon 资源名称 (ARN)。在策略中，您可以使用 Amazon 资源名称（ARN）标识策略应用到的资源。有关 ARN 的详细信息，请参阅 Amazon 中的 Amazon 资源名称 (ARN) 和Amazon Web Services 一般参考服务命名空间。 CodeCommit 目前不支持其他资源类型，这些资源类型被称为子资源。

下表描述了如何指定 CodeCommit 资源。

例如，您可以在语句中使用其 ARN 来表示特定的存储库 (MyDemoRepo)，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:MyDemoRepo"

要指定属于某一特定账户的所有存储库，请使用通配符 (*)，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:*"

要指定所有资源，或者，如果特定 API 操作不支持 ARN，请在 Resource 元素中使用通配符 (*)，如下所示：

"Resource": "*"

您还可以使用通配符 (*) 指定与某一存储库名称部分匹配的所有资源。例如，以下 ARN 指定了以该名称开头MyDemo且注册到 Amazon Web Services 账户111111111111的所有 CodeCommit存储库：us-east-2 Amazon Web Services 区域

arn:aws:codecommit:us-east-2:111111111111:MyDemo*

有关与 CodeCommit 资源配合使用的可用操作的列表，请参阅CodeCommit 权限参考。

了解资源所有权

Amazon Web Services 账户拥有在该账户中创建的资源，无论这些资源由谁创建。具体来说，资源所有者是验证资源创建请求的主体实体（即根账户、IAM 用户或 IAM 角色）的 Amazon Web Services 账户。以下示例说明了它的工作原理：

管理对资源的访问

要管理对 Amazon 资源的访问权限，您可以使用权限策略。权限策略规定谁可以访问哪些内容。下一节介绍权限策略创建选项。

附加到 IAM 身份的权限策略称作基于身份的策略（IAM policy）。附加到资源的权限策略称作基于资源的策略。目前，仅 CodeCommit支持基于身份的策略（IAM 策略）。

基于身份的策略（IAM 策略）

要管理对 Amazon 资源的访问权限，您需要向 IAM 身份附加权限策略。在中 CodeCommit，您可以使用基于身份的策略来控制对存储库的访问权限。例如，您可以执行以下操作：

以下示例策略允许用户在名为的存储库中创建分支 MyDemoRepo：

{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codecommit:CreateBranch"
      ],
      "Resource" : "arn:aws:codecommit:us-east-2:111111111111:MyDemoRepo"
    }
  ]
}

要限制账户中的用户有权访问的调用和资源，可以创建特定的 IAM policy，然后将这些策略附加到 IAM 用户。有关如何创建 IAM 角色以及浏览的 IAM 策略声明示例 CodeCommit，请参阅客户管理型身份策略示例。

基于资源的策略

一些服务（如 Amazon S3）支持基于资源的权限策略。例如，您可以将基于资源的策略附加到 S3 存储桶，以管理对该存储桶的访问权限。 CodeCommit 不支持基于资源的策略，但您可以使用标签来识别资源，然后可以在 IAM 策略中使用这些资源。有关基于标签的策略示例，请参阅基于身份的策略（IAM 策略）。

资源范围界定在 CodeCommit

在中 CodeCommit，您可以将基于身份的策略和权限限定为资源的范围，如中所述。CodeCommit 资源和运营但是，不能将 ListRepositories 权限的范围限定为某一资源，而必须将其范围设置为所有资源 (使用通配符 *)。否则，该操作将会失败。

所有其他 CodeCommit 权限都可以限定为资源。

指定策略元素：资源、操作、效果和委托方

您可以创建策略来允许或拒绝用户访问资源，或者允许或拒绝用户对这些资源采取特定操作。 CodeCommit 定义了一组公共 API 操作，用于定义用户如何使用服务，无论是通过 CodeCommit 控制台、软件开发工具包、还是直接调用这些 API。 Amazon CLI要授予这些 API 操作的权限，请 CodeCommit 定义一组可在策略中指定的操作。

某些 API 操作可能需要执行多个操作的权限。有关资源和 API 操作的更多信息，请参阅 CodeCommit 资源和运营 和 CodeCommit 权限参考。

下面是基本的策略元素：

有关 IAM policy 语法的更多信息，请参阅《IAM 用户指南》中的 IAM policy 参考。

有关显示所有 CodeCommit API 操作及其适用的资源的表格，请参阅CodeCommit 权限参考。

在策略中指定条件

授予权限时，可以使用 IAM 的访问策略语言指定策略生效的条件。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅《IAM 用户指南》中的条件和策略语法。

要表示条件，您可以使用预定义的条件键。没有特定于的条件键 CodeCommit。但是，您可以根据需要使用 Amazon范围内的条件键。有关 Amazon范围密钥的完整列表，请参阅 IAM 用户指南中的条件可用密钥。