步骤 2：为创建服务角色 CodeDeploy

登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色，然后选择创建角色。

选择Amazon 服务，然后在用例下的下拉列表中选择CodeDeploy。

选择您的使用案例：

选择下一步。

在添加权限页面上，将显示该使用案例的正确权限策略。选择下一步。

在命名、查看和创建页面上的角色名称中，输入服务角色的名称（例如，CodeDeployServiceRole），然后选择创建角色。

您还可以在角色描述中输入此服务角色的描述。

如果您希望此服务角色有权访问所有当前支持的终端节点，则您已完成了此过程。

要限制此服务角色访问某些端点，请继续执行此过程中的其余步骤。

在角色列表中搜索并选择您刚刚创建的角色（CodeDeployServiceRole）。

选择 Trust relationships（信任关系）选项卡。

选择编辑信任策略。

您应该看到以下策略，该策略向服务角色提供访问所有支持的终端节点的权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

例如，在您的开发计算机上，创建一个名为 CodeDeployDemo-Trust.json 的文本文件。使用此文件可允许 CodeDeploy 代表您执行操作。

在文件中保存以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

从相同的目录调用 create-role 命令，根据刚刚创建的文本文件中的信息创建名为 CodeDeployServiceRole 的服务角色：

aws iam create-role --role-name CodeDeployServiceRole --assume-role-policy-document file://CodeDeployDemo-Trust.json

在命令输出中，记录 Arn 对象下方 Role 条目的值。稍后创建部署组时将需要它。如果您忘记了值，请按照获取服务角色 ARN（CLI） 中的说明操作。

调用 attach-role-policy 命令以根据名为 AWSCodeDeployRole 的 IAM 托管策略向名为 CodeDeployServiceRole 的服务角色授予权限。例如：

aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws:-cn:iam::aws:policy/service-role/AWSCodeDeployRole

登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在筛选条件框中，键入 CodeDeployServiceRole，然后按 Enter。

选择 CodeDeployServiceRole。

记下 Role ARN（角色 ARN）字段的值。