AWS CodeDeploy

用户指南 (API 版本 2014-10-06)

AWS 文档 » AWS CodeDeploy » 用户指南 » CodeDeploy 入门 » 步骤 3：为 CodeDeploy 创建服务角色

步骤 3：为 CodeDeploy 创建服务角色

在 AWS 中，服务角色用于向 AWS 服务授予权限，以便能访问 AWS 资源。附加到服务角色的策略将确定服务可访问的 AWS 资源以及可使用这些资源执行的操作。

您为 CodeDeploy 创建的服务角色必须授予对您的计算平台所需的权限。如果您部署到多个 计算平台，请为每个平台创建一个服务角色。要添加权限，请附加以下一个或多个 AWS 提供的策略：

对于 EC2/本地 部署，附加 AWSCodeDeployRole 策略。该策略为您的服务角色提供针以下权限：

对于 Amazon ECS 部署，如果您想要针对支持服务的完全访问权限，请附加 AWSCodeDeployRoleForECS 策略。该策略为您的服务角色提供以下权限：

对于 Amazon ECS 部署，如果您想要针对支持服务的有限访问权限，请附加 AWSCodeDeployRoleForECSLimited 策略。该策略为您的服务角色提供以下权限：

对于 AWS Lambda 部署，附加 AWSCodeDeployRoleForLambda 策略。该策略为您的服务角色提供以下权限：

在设置服务角色过程中，您还可以更新其信任关系，指定您希望向其授予访问权限的终端节点。

您可以使用 IAM 控制台、AWS CLI 或 IAM API 创建服务角色。

创建服务角色（控制台）

1. 登录 AWS 管理控制台 并通过以下网址打开 IAM 控制台 https://console.amazonaws.cn/iam/。

2. 在导航窗格中，选择 Roles，然后选择 Create Role。

3. 在 Create role (创建角色) 页面上，选择 AWS service (AWS 服务)，然后从 Choose the service that will use this role (选择将使用此角色的服务) 列表中，选择 CodeDeploy.

4. 在选择您的使用案例下，选择您的使用案例：

   • 对于 EC2/本地 部署，选择 CodeDeploy。

   • 对于 Amazon ECS 部署，选择 CodeDeploy - ECS。

   • 对于 AWS Lambda 部署，选择 适用于 Lambda 的 CodeDeploy。

5. 选择 Next: Permissions。

6. 在附加的权限策略页面上，会显示权限策略。选择下一步: 标签。

7. 在 Review (审核) 页面的 Role name (角色名称) 中，输入服务角色的名称（例如， CodeDeployServiceRole), and then choose Create role.

   您还可以在 Role description (角色描述) 中输入此服务角色的描述。

8. 如果您希望此服务角色有权访问所有当前支持的终端节点，则您已完成了此过程。

   要限制此服务角色访问一些终端节点，则在角色列表中，浏览并选择您创建的角色，然后继续下一步。

9. 在信任关系选项卡上，选择编辑信任关系。

10. 您应该看到以下策略，该策略向服务角色提供访问所有支持的终端节点的权限：

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "",
                "Effect": "Allow",
                "Principal": {
                    "Service": [
                        "codedeploy.amazonaws.com.cn"
                    ]
                },
                "Action": "sts:AssumeRole"
            }
        ]
    }

有关创建服务角色的更多信息，请参阅 IAM 用户指南 中的创建向 AWS 服务委派权限的角色。

创建服务角色 (CLI)

1. 例如，在您的开发计算机上，创建一个名为 CodeDeployDemo-Trust.json 的文本文件。使用此文件可允许 CodeDeploy 代表您执行操作。

   在文件中保存以下内容：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "codedeploy.amazonaws.com.cn"
                   ]
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

2. 从相同的目录调用 create-role 命令，根据刚刚创建的文本文件中的信息创建名为 CodeDeployServiceRole 的服务角色：

   aws iam create-role --role-name CodeDeployServiceRole --assume-role-policy-document file://CodeDeployDemo-Trust.json

   重要

   Be sure to include file:// before the file name. It is required in this command.

   在命令输出中，记录 Arn 对象下方 Role 条目的值。稍后创建部署组时将需要它。如果您忘记了值，请按照获取服务角色 ARN (CLI) 中的说明操作。

3. 调用 attach-role-policy 命令以根据名为 AWSCodeDeployRole 的 IAM 托管策略向名为 CodeDeployServiceRole 的服务角色授予权限。例如：

   aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws-cn:-cn:iam::aws:policy/service-role/AWSCodeDeployRole

有关创建服务角色的更多信息，请参阅 IAM 用户指南 中的为 AWS 服务创建角色。

获取服务角色 ARN（控制台）

使用 IAM 控制台获取服务角色的 ARN：

1. 登录 AWS 管理控制台 并通过以下网址打开 IAM 控制台 https://console.amazonaws.cn/iam/。

2. 在导航窗格中，选择 Roles。

3. 在筛选条件框中，键入 CodeDeployServiceRole，然后按 Enter。

4. 选择 CodeDeployServiceRole。

5. 记下 Role ARN (角色 ARN) 字段的值。

获取服务角色 ARN (CLI)

要使用 AWS CLI 获取服务角色的 ARN，请对名为 CodeDeployServiceRole 的服务角色调用 get-role 命令：

aws iam get-role --role-name CodeDeployServiceRole --query "Role.Arn" --output text

返回值是服务角色的 ARN。

本页内容：

• 创建服务角色（控制台）
• 创建服务角色 (CLI)
• 获取服务角色 ARN（控制台）
• 获取服务角色 ARN (CLI)