第 2 步：为 CodeDeploy 创建服务角色

登录 Amazon Web Services Management Console，打开 IAM 控制台 https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色，然后选择创建角色。

在存储库的创建角色页面上，选择Amazon服务，从中找到选择将使用此角色的服务。选择列表，选择CodeDeploy.

在选择您的使用案例下，选择您的使用案例：

选择 Next:。Permissions (下一步：权限)。

在附加的权限策略页面上，会显示权限策略。选择 Next:。标签。

在存储库的审核在页面上，Role name (角色名称)，输入服务角色的名称（例如，CodeDeployServiceRole)，然后选择创建角色.

您还可以在中输入此服务角色的说明。角色描述.

如果您希望此服务角色有权访问所有当前支持的终端节点，则您已完成了此过程。

要限制此服务角色访问一些终端节点，则在角色列表中，浏览并选择您创建的角色，然后继续下一步。

在信任关系选项卡上，选择编辑信任关系。

您应该看到以下策略，该策略向服务角色提供访问所有支持的终端节点的权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

例如，在您的开发计算机上，创建一个名为 CodeDeployDemo-Trust.json 的文本文件。使用此文件可允许 CodeDeploy 代表您执行操作。

在文件中保存以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

从相同的目录调用 create-role 命令，根据刚刚创建的文本文件中的信息创建名为 CodeDeployServiceRole 的服务角色：

aws iam create-role --role-name CodeDeployServiceRole --assume-role-policy-document file://CodeDeployDemo-Trust.json

在命令输出中，记录 Arn 对象下方 Role 条目的值。稍后创建部署组时将需要它。如果您忘记了值，请按照获取服务角色 ARN (CLI) 中的说明操作。

调用attach-role-policy命令来指定名为的服务角色CodeDeployServiceRole基于名为的 IAM 托管策略的权限AWSCodeDeployRole. 例如：

aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws:-cn:iam::aws:policy/service-role/AWSCodeDeployRole

登录 Amazon Web Services Management Console，打开 IAM 控制台 https://console.aws.amazon.com/iam/。

在导航窗格中，选择 Roles（角色）。

在筛选条件框中，键入 CodeDeployServiceRole，然后按 Enter。

选择 CodeDeployServiceRole。

记下 Role ARN (角色 ARN) 字段的值。