Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon CodeCommit 的身份验证和访问控制

访问 Amazon CodeCommit 需要凭证。这些凭证必须有权访问Amazon资源（如 CodeCommit 存储库）和您的 IAM 用户（您通过该用户来管理 Git 凭证或用于进行 Git 连接的 SSH 公有密钥）。以下各节提供有关如何使用的详细信息。Amazon Identity and Access Management(IAM)和 CodeCommit 以帮助保护对您的资源的访问：

身份验证

由于 CodeCommit 存储库基于 Git 并且支持包括 Git 凭证在内的 Git 基本功能，建议通过 IAM 用户使用 CodeCommit。您可以使用其他身份类型访问 CodeCommit，但其他身份类型存在以下限制。

身份类型：

访问控制

您可以使用有效的凭证来对自己的请求进行身份验证，但除非您拥有权限才能创建或访问 CodeCommit 资源。例如，您必须拥有权限才能查看存储库、推送代码、创建和管理 Git 凭证等。

以下部分介绍如何管理 CodeCommit 的权限。我们建议您先阅读概述。

管理 CodeCommit 资源的访问权限概述

每个Amazon资源归 Amazon Web Services 账户所有。创建或访问资源的权限由权限策略进行管理。账户管理员可以向 IAM 身份（即：用户、组和角色）附加权限策略。一些服务（例如 Amazon Lambda）还支持向资源附加权限策略。

在授予权限时，您确定谁获得权限、获得对哪些资源的权限以及允许对这些资源执行的具体操作。

CodeCommit 资源和操作

在 CodeCommit 中，主要资源是存储库。每种资源均有相关联的唯一 Amazon 资源名称 (ARN)。在策略中，您可以使用 Amazon Resource Name（ARN）标识策略应用到的资源。有关 ARN 的更多信息，请参阅Amazon 资源名称 (ARN) 和Amazon服务命名空间中的Amazon Web Services 一般参考. CodeCommit 目前不支持称作子资源的其他资源类型。

下表介绍如何指定 CodeCommit 资源。

例如，您可以使用特定存储库 (MyDemoRepo) 的 ARN 在语句中指定它，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:MyDemoRepo"

要指定属于某一特定账户的所有存储库，请使用通配符 (*)，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:*"

要指定所有资源，或者，如果特定 API 操作不支持 ARN，请在 Resource 元素中使用通配符 (*)，如下所示：

"Resource": "*"

您还可以使用通配符 (*) 指定与某一存储库名称部分匹配的所有资源。例如，以下 ARN 指定以名称开头的 CodeCommit 存储库：MyDemo并且已注册到 Amazon Web Services 账户111111111111中的us-east-2 Amazon Web Services 区域：

arn:aws:codecommit:us-east-2:111111111111:MyDemo*

有关 CodeCommit 资源的可用操作的列表，请参阅。CodeCommit 权限参考.

了解资源所有权

无论资源创建者是谁，Amazon Web Services 账户对在自身账户下创建的资源都具有所有权。具体来说，资源所有者是主要实体对资源创建请求进行身份验证的根账户、IAM 用户或 IAM 角色）。以下示例说明了它的工作原理：

管理对资源的访问

要管理对 Amazon 资源的访问，可以使用权限策略。权限策略规定谁可以访问哪些内容。下一节介绍权限策略创建选项。

附加到 IAM 身份的权限策略称作基于身份的策略（IAM 策略）。附加到资源的权限策略称作基于资源的策略。目前，CodeCommit 只支持基于身份的策略（IAM 策略）。

基于身份的策略（IAM 策略）

管理对的访问Amazon资源，可以将权限策略附加到 IAM 身份。在 CodeCommit 中，可以使用基于身份的策略控制对存储库的访问权限。例如，可以：

以下示例策略允许用户在名为的存储库中创建一个分支：MyDemoRepo：

{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codecommit:CreateBranch"
      ],
      "Resource" : "arn:aws:codecommit:us-east-2:111111111111:MyDemoRepo"
    }
  ]
}

要限制您账户中的用户有权访问的调用和资源，请创建特定的 IAM 策略，然后将这些策略与 IAM 用户关联。有关如何创建 IAM 角色和探索 CodeCommit 的 IAM 策略语句示例的更多信息，请参阅。客户托管身份策略示例.

基于资源的策略

一些服务（如 Amazon S3）还支持基于资源的权限策略。例如，您可以将基于资源的策略附加到 S3 存储桶以管理对该存储桶的访问权限。CodeCommit 不支持基于资源的策略，但您可以使用标签标识资源，然后可以在 IAM 策略中使用这些资源。有关基于标签的策略示例，请参阅基于身份的策略（IAM 策略）。

CodeCommit 中的资源范围界定

在 CodeCommit 中，可以将基于身份的策略和权限的范围限定到资源，如中所述。CodeCommit 资源和操作. 但是，不能将 ListRepositories 权限的范围限定为某一资源，而必须将其范围设置为所有资源 (使用通配符 *)。否则，该操作将会失败。

所有其他 CodeCommit 权限的范围都可以限定到资源。

指定策略元素：资源、操作、效果和委托方

您可以创建策略来允许或拒绝用户访问资源，或者允许或拒绝用户对这些资源执行特定操作。CodeCommit 定义了一组公有 API 操作来确定用户如何处理服务，是通过 CodeCommit 控制台、软件开发工具包还是Amazon CLI，或者直接调用这些 API。为授予这些 API 操作的权限，CodeCommit 定义了一组您可以在策略中指定的操作。

某些 API 操作可能需要执行多个操作的权限。有关资源和 API 操作的更多信息，请参阅 CodeCommit 资源和操作 和 CodeCommit 权限参考。

下面是基本的策略元素：

要详细了解 IAM 策略语法，请参阅IAM 策略参考中的IAM 用户指南.

有关显示所有 CodeCommit API 操作及其适用于的资源的表，请参阅CodeCommit 权限参考.

在策略中指定条件

授予权限时，可以使用 IAM 的访问策略语言指定策略生效的条件。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅Condition和策略语法中的IAM 用户指南.

要表示条件，您可以使用预定义的条件键。没有特定于 CodeCommit 的条件键。但有 Amazon 范围内的条件密钥，您可以根据需要使用。有关 Amazon 范围内的键的完整列表，请参阅 IAM 用户指南中的条件的可用键。