Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon CodeCommit 的身份验证和访问控制

访问 Amazon CodeCommit 需要凭证。这些凭证必须有权访问 Amazon 资源（如 CodeCommit 存储库）和您的 IAM 用户（您通过该用户来管理 Git 凭证或用于进行 Git 连接的 SSH 公有密钥）。下列各节详述了如何使用 Amazon Identity and Access Management (IAM) 和 CodeCommit 来帮助确保对您资源的访问安全：

身份验证

由于 CodeCommit 存储库基于 Git 并且支持包括 Git 凭证在内的 Git 基本功能，建议通过 IAM 用户使用 CodeCommit。您可以使用其他身份类型访问 CodeCommit，但其他身份类型存在以下限制。

身份类型：

访问控制

您可以使用有效的凭证来对自己的请求进行身份验证，但您还必须拥有权限才能创建或访问 CodeCommit 资源。例如，您必须拥有权限才能查看存储库、推送代码、创建和管理 Git 凭证等。

下面几节介绍了如何管理 CodeCommit 的权限。我们建议您先阅读概述。

管理 CodeCommit 资源的访问权限的概述

每个 Amazon 资源归一个 Amazon Web Services 账户拥有。创建或访问资源的权限由权限策略进行管理。账户管理员可以向 IAM 身份（即：用户、组和角色）附加权限策略。一些服务（例如 Amazon Lambda）还支持向资源附加权限策略。

在授予权限时，您确定谁获得权限、获得对哪些资源的权限以及允许对这些资源执行的具体操作。

CodeCommit 资源和操作

在 CodeCommit 中，主要资源是存储库。每种资源均有相关联的唯一 Amazon 资源名称 (ARN)。在策略中，您可以使用 Amazon Resource Name（ARN）标识策略应用到的资源。有关 ARN 的详细信息，请参阅 Amazon 中的 Amazon 资源名称 (ARN) 和 Amazon Web Services 一般参考 服务命名空间。CodeCommit 目前不支持称作子资源的其他资源类型。

下表介绍了如何指定 CodeCommit 资源。

例如，您可以使用特定存储库 (MyDemoRepo) 的 ARN 在语句中指定它，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:MyDemoRepo"

要指定属于某一特定账户的所有存储库，请使用通配符 (*)，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:*"

要指定所有资源，或者，如果特定 API 操作不支持 ARN，请在 Resource 元素中使用通配符 (*)，如下所示：

"Resource": "*"

您还可以使用通配符 (*) 指定与某一存储库名称部分匹配的所有资源。例如，以下 ARN 指定了以 MyDemo 开头的 CodeCommit 存储库，该存储库注册到 us-east-2 Amazon Web Services 区域的 Amazon Web Services 帐户 111111111111：

arn:aws:codecommit:us-east-2:111111111111:MyDemo*

有关 CodeCommit 资源的可用操作的列表，请参阅CodeCommit 权限参考。

了解资源所有权

Amazon Web Services 账户拥有在该账户中创建的资源，无论这些资源由谁创建。具体来说，资源所有者是验证资源创建请求的主体实体（即根账户、IAM 用户或 IAM 角色）的 Amazon Web Services 账户。以下示例说明了它的工作原理：

管理对资源的访问

要管理对 Amazon 资源的访问，可以使用权限策略。权限策略规定谁可以访问哪些内容。下一节介绍权限策略创建选项。

附加到 IAM 身份的权限策略称作基于身份的策略（IAM policy）。附加到资源的权限策略称作基于资源的策略。目前，CodeCommit 仅支持基于身份的策略（IAM policy）。

基于身份的策略（IAM 策略）

要管理对 Amazon 资源的访问，可以将权限策略附加到 IAM 身份。在 CodeCommit 中，可以使用基于身份的策略控制对存储库的访问。例如，您可以执行以下操作：

以下示例策略允许用户在名为 MyDemoRepo 的存储库中创建一个分支：

{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codecommit:CreateBranch"
      ],
      "Resource" : "arn:aws:codecommit:us-east-2:111111111111:MyDemoRepo"
    }
  ]
}

要限制账户中的用户有权访问的调用和资源，可以创建特定的 IAM policy，然后将这些策略附加到 IAM 用户。有关创建 IAM 角色和探索适用于 CodeCommit 的 IAM policy 语句的更多信息，请参阅客户管理型身份策略示例。

基于资源的策略

一些服务（如 Amazon S3）支持基于资源的权限策略。例如，您可以将基于资源的策略附加到 S3 桶以管理对该桶的访问权限。CodeCommit 不支持基于资源的策略，但您可以使用标签来识别资源，然后在 IAM policy 中使用。有关基于标签的策略示例，请参阅基于身份的策略（IAM 策略）。

CodeCommit 中的资源范围界定

在 CodeCommit 中，可以将基于身份的策略和权限的范围限定到资源，如 CodeCommit 资源和操作中所述。但是，不能将 ListRepositories 权限的范围限定为某一资源，而必须将其范围设置为所有资源 (使用通配符 *)。否则，该操作将会失败。

所有其他 CodeCommit 权限的范围都可以限定到资源。

指定策略元素：资源、操作、效果和委托方

您可以创建策略来允许或拒绝用户访问资源，或者允许或拒绝用户对这些资源执行特定操作。CodeCommit 定义一组公有 API 操作来确定用户如何使用该服务：是通过 CodeCommit 控制台、软件开发工具包、Amazon CLI 还是直接调用这些 API。为了向这些 API 操作授予权限，CodeCommit 定义了一组您可以在策略中指定的操作。

某些 API 操作可能需要执行多个操作的权限。有关资源和 API 操作的更多信息，请参阅 CodeCommit 资源和操作 和 CodeCommit 权限参考。

下面是基本的策略元素：

有关 IAM policy 语法的更多信息，请参阅《IAM 用户指南》中的 IAM policy 参考。

有关显示所有 CodeCommit API 操作及其适用的资源的表，请参阅 CodeCommit 权限参考。

在策略中指定条件

授予权限时，可以使用 IAM 的访问策略语言指定策略生效的条件。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅《IAM 用户指南》中的条件和策略语法。

要表示条件，您可以使用预定义的条件键。没有特定于 CodeCommit 的条件键。但有 Amazon 范围内的条件密钥，您可以根据需要使用。有关 Amazon 范围内的键的完整列表，请参阅《IAM 用户指南》中的条件的可用键。