步骤 3：为 CodeDeploy 创建服务角色

登录 AWS 管理控制台 并通过以下网址打开 IAM 控制台 https://console.amazonaws.cn/iam/。

在导航窗格中，选择角色，然后选择创建角色。

在 Create role (创建角色) 页面上，选择 AWS service (AWS 服务)，然后从 Choose the service that will use this role (选择将使用此角色的服务) 列表中，选择 CodeDeploy.

在选择您的使用案例下，选择您的使用案例：

选择 Next: Permissions。

在附加的权限策略页面上，会显示权限策略。选择下一步: 标签。

在 Review (审核) 页面的 Role name (角色名称) 中，输入服务角色的名称（例如， CodeDeployServiceRole), and then choose Create role.

您还可以在 Role description (角色描述) 中输入此服务角色的描述。

如果您希望此服务角色有权访问所有当前支持的终端节点，则您已完成了此过程。

要限制此服务角色访问一些终端节点，则在角色列表中，浏览并选择您创建的角色，然后继续下一步。

在信任关系选项卡上，选择编辑信任关系。

您应该看到以下策略，该策略向服务角色提供访问所有支持的终端节点的权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com.cn"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

例如，在您的开发计算机上，创建一个名为 CodeDeployDemo-Trust.json 的文本文件。使用此文件可允许 CodeDeploy 代表您执行操作。

在文件中保存以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com.cn"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

从相同的目录调用 create-role 命令，根据刚刚创建的文本文件中的信息创建名为 CodeDeployServiceRole 的服务角色：

aws iam create-role --role-name CodeDeployServiceRole --assume-role-policy-document file://CodeDeployDemo-Trust.json

在命令输出中，记录 Arn 对象下方 Role 条目的值。稍后创建部署组时将需要它。如果您忘记了值，请按照获取服务角色 ARN (CLI) 中的说明操作。

调用 attach-role-policy 命令以根据名为 AWSCodeDeployRole 的 IAM 托管策略向名为 CodeDeployServiceRole 的服务角色授予权限。例如：

aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws-cn:-cn:iam::aws:policy/service-role/AWSCodeDeployRole

登录 AWS 管理控制台 并通过以下网址打开 IAM 控制台 https://console.amazonaws.cn/iam/。

在导航窗格中，选择 Roles。

在筛选条件框中，键入 CodeDeployServiceRole，然后按 Enter。

选择 CodeDeployServiceRole。

记下 Role ARN (角色 ARN) 字段的值。