将应用程序部署到不同Amazon账户 - Amazon CodeDeploy
第 1 步：在任一账户中创建 S3 存储桶第 2 步：向 Amazon S3 存储桶授予对生产账户的 IAM 实例配置文件的权限 第 3 步：创建资源和跨账户角色第 4 步：将应用程序修订上传到 Amazon S3 存储桶第 5 步：担任跨账户角色并部署应用程序
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将应用程序部署到不同Amazon账户

组织通常会有多个 Amazon 账户用于不同用途（例如，一个用于系统管理任务，另一个用于开发、测试和生产任务；或者一个与开发和测试环境关联，而另一个与生产环境关联）。

虽然您可能在不同账户中执行相关工作，CodeDeploy 部署组和所部署到的 Amazon EC2 实例严格绑定到创建它们时所使用的账户。例如，您无法将在一个账户中启动的实例添加到另一个账户中的部署组。

假设您有两个 Amazon 账户：开发账户和生产账户。您主要使用开发账户进行工作，但是希望能够在生产账户中启动部署而无需完整的一组凭证，或者不希望注销开发账户并登录生产账户来进行工作。

完成以下跨账户配置步骤之后，您可以启动属于您组织的另一个账户下的部署，而无需另一个账户的一组完整权限。在此操作过程中，您需要使用Amazon Security Token Service(Amazon STS），它授予您对该帐户的临时访问权限。

第 1 步：在任一账户中创建 S3 存储桶

在开发账户或生产账户中：

  • 如果您还未创建，则创建 Amazon S3 存储桶，将在其中存储生产账户的应用程序修订。想要了解有关信息，请参阅在 Amazon S3 中创建存储桶。您甚至可以为两个账户使用相同的存储桶和应用程序修订，将您在开发账户中测试和验证的相同文件部署到您的生产环境。

第 2 步：向 Amazon S3 存储桶授予对生产账户的 IAM 实例配置文件的权限

如果您在步骤 1 中创建的 Amazon S3 存储桶位于您的生产账户中，则不需要此步骤。稍后您将承担的角色具有对此存储桶的访问权限，因为该存储桶也位于生产账户中。

如果您在开发账户中创建了 Amazon S3 存储桶，则执行以下操作：

  • 在生产账户中，创建 IAM 实例配置文件。有关信息，请参阅 第 4 步：为您的 Amazon EC2 实例创建 IAM 实例配置文件。

    注意

    记录此 IAM 实例配置文件的 ARN。您需要将它添加到接下来创建的跨存储桶策略中。

  • 在开发账户中，将您在开发账户中创建的 Amazon S3 存储桶的访问权限授予您刚刚在生产账户中创建的 IAM 实例配置文件。想要了解有关信息，请参阅示例 2：存储桶拥有者授予跨账户存储桶权限。

    完成授予跨账户存储桶权限的过程时，请注意以下内容：

    • 在示例演练中，账户 A 表示您的开发账户，账户 B 表示您的生产账户。

    • 当您执行账户 A（开发账户）任务时，修改以下存储桶策略以授予跨账户权限，而不是使用演练中提供的示例策略。 

      {
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "Cross-account permissions",
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::account-id:role/role-name" 
         },
         "Action": [
            "s3:Get*",
            "s3:List*"
         ],
         "Resource": [
            "arn:aws:s3:::bucket-name/*"
         ]
      }
   ]
}

      account-id表示您刚刚创建了 IAM 实例配置文件的生产账户的账户编号。

      角色名称表示您刚刚创建的 IAM 实例配置文件的名称。

      bucket-name 表示您在步骤 1 中创建的存储桶的名称。请确保在存储桶名称之后包括 /*，以提供对存储桶中各个文件的访问权限。

第 3 步：创建资源和跨账户角色

在生产账户中：

  • 使用本指南中的说明创建您的 CodeDeploy 资源（应用程序、部署组、部署配置、Amazon EC2 实例、Amazon EC2 实例配置文件、服务角色等）。

  • 创建附加角色，即跨账户 IAM 角色，您开发账户中的用户可以代入该角色以在此生产账户中执行 CodeDeploy 操作。

    使用演练：委托跨越Amazon账户使用 IAM 角色作为指南来帮助您创建跨账户角色。您不应将演练中的示例权限添加到策略文档，而是至少应附加以下两个Amazon向角色提供了策略：

    • AmazonS3FullAccess：只有当 S3 存储桶位于开发账户中时才需要。提供对 Amazon S3 服务和资源具有完整访问权限的代入生产账户角色（修订存储在其中）。

    • AWSCodeDeployDeployerAccess：允许 IAM 用户注册和部署修订。

    如果要创建和管理部署组而不是启动部署，请添加 AWSCodeDeployFullAccess 策略而不是 AWSCodeDeployDeployerAccess 策略。有关使用 IAM 托管策略为 CodeDeploy 任务授予权限的更多信息，请参阅AmazonCodeDeploy 托管（预定义）策略。

    如果您希望在使用此跨账户角色时在其他 Amazon 服务中执行任务，可以附加其他策略。

重要

在您创建跨账户 IAM 角色时，请记录详细信息，您需要这些详细信息来获取对生产账户的访问权限。

要使用 Amazon Web Services Management Console 来切换角色，您需要提供以下内容之一：

  • 用于通过所代入角色的凭证来访问生产账户的 URL。您可以在 Review 页面上找到该 URL，该页面在跨账户角色创建过程结束时显示。

  • 跨账户角色的名称以及账户 ID 编号或别名。

要使用 Amazon CLI 切换角色，您需要提供以下内容：

  • 您将代入的跨账户角色的 ARN。

第 4 步：将应用程序修订上传到 Amazon S3 存储桶

在您创建 Amazon S3 存储桶的账户中：

第 5 步：担任跨账户角色并部署应用程序

在开发账户中，您可以使用 Amazon CLI 或 Amazon Web Services Management Console 来代入跨账户角色并在生产账户中启动部署。

有关如何使用Amazon Web Services Management Console切换角色并启动部署，请参阅切换到角色 ()Amazon Web Services Management Console）和创建EC2/本地计算平台部署（控制台）。

有关如何使用Amazon CLI以代入跨账户角色并启动部署，请参阅切换到 IAM 角色 (Amazon Command Line Interface）和创建EC2/本地计算平台部署( CLI)。

有关通过Amazon STS，请参阅AssumeRole中的Amazon Security Token Service用户指南和确定角色中的Amazon CLI命令参考。

相关主题：