Amazon CodeDeploy 基于身份的策略示例

默认情况下，用户无权创建或修改 CodeDeploy资源。他们也无法使用 Amazon Web Services Management Console Amazon CLI、或 Amazon API 执行任务。您必须创建 IAM policy，授予 IAM 角色在其所需的指定资源上执行 API 操作的权限。然后，您必须将这些 IAM 角色附加到需要这些权限的用户或组。

要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅《IAM 用户指南》中的在 JSON 选项卡上创建策略。

在中 CodeDeploy，基于身份的策略用于管理与部署过程相关的各种资源的权限。您可以控制对所有以下类型资源的访问：

应用程序和应用程序修订。
部署。
部署配置。
实例和本地实例。

由资源策略所控制的能力因资源类型而异，如下表所述：

资源类型	功能
全部	查看和列出有关资源的详细信息
应用程序部署配置部署组	创建资源删除资源
部署	创建部署停止部署
应用程序修订	注册应用程序修订
应用程序部署组	更新资源
本地实例	向实例中添加标签从实例中删除标签注册实例取消注册实例

下面的示例演示一个权限策略，该策略允许用户删除与 us-west-2 区域中名为 WordPress_DepGroup 的应用程序关联的名为 WordPress_App 的部署组。


{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:DeleteDeploymentGroup"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:444455556666:deploymentgroup:WordPress_App/WordPress_DepGroup"
      ]
    }
  ]
}

客户管理型策略示例

在本节中，您可以找到授予各种 CodeDeploy 操作权限的策略示例。这些策略在您使用 CodeDeploy API、 Amazon 软件开发工具包或时起 Amazon CLI作用。您必须针对在控制台中执行的操作授予其他权限。要了解有关授予控制台权限的更多信息，请参阅使用 CodeDeploy控制台。

注意

所有示例都使用美国西部（俄勒冈）区域（us-west-2）并且包含虚构的账户 ID。

示例

示例 1：允许在单个区域中执行 CodeDeploy 操作
示例 2：允许为单个应用程序注册修订
示例 3：允许为单个部署组创建部署

示例 1：允许在单个区域中执行 CodeDeploy 操作

以下示例仅授予us-west-2在该区域执行 CodeDeploy 操作的权限：


{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:*"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:444455556666:*"
      ]
    }
  ]
}

示例 2：允许为单个应用程序注册修订

以下示例授予为 us-west-2 区域中所有以 Test 开头的应用程序注册应用程序修订的权限：


{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:444455556666:application:Test*"
      ]
    }
  ]
}

示例 3：允许为单个部署组创建部署

以下示例允许为与名为 WordPress_App 的应用程序关联的名为 WordPress_DepGroup 的部署组、名为 ThreeQuartersHealthy 的自定义部署配置以及与名为 WordPress_App 的应用程序关联的任何应用程序修订创建部署。所有这些资源都位于 us-west-2 区域中。


{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:CreateDeployment"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:444455556666:deploymentgroup:WordPress_App/WordPress_DepGroup"
      ]
    },
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:GetDeploymentConfig"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:444455556666:deploymentconfig:ThreeQuartersHealthy"
      ]
    },
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:GetApplicationRevision"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:444455556666:application:WordPress_App"
      ]
    }
  ]
}

策略最佳实践

基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 CodeDeploy 资源。这些操作可能会使 Amazon Web Services 账户产生成本。创建或编辑基于身份的策略时，请遵循以下准则和建议：

开始使用 Amazon 托管策略并转向最低权限权限 — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的Amazon 托管策略。它们在你的版本中可用 Amazon Web Services 账户。我们建议您通过定义针对您的用例的 Amazon 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》中的 Amazon 托管式策略或工作职能的Amazon 托管式策略。
应用最低权限 – 在使用 IAM policy 设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为最低权限许可。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》中的 IAM 中的策略和权限。
使用 IAM policy 中的条件进一步限制访问权限 – 您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 Amazon Web Service，例如 Amazon CloudFormation。有关更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：条件。
使用 IAM Access Analyzer 验证 IAM policy，确保权限的安全性和功能性 – IAM Access Analyzer 会验证新策略和现有策略，确保策略符合 IAM policy 语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，有助于制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》中的 IAM Access Analyzer 策略验证。
需要多重身份验证 (MFA)-如果 Amazon Web Services 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。要在调用 API 操作时需要 MFA，请将 MFA 条件添加到策略中。有关更多信息，请参阅《IAM 用户指南》https://docs.amazonaws.cn/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html中的配置受 MFA 保护的 API 访问。

有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实操。

使用 CodeDeploy控制台

如果您使用 CodeDeploy 控制台，则必须拥有一组允许您描述 Amazon 账户其他 Amazon 资源的最低权限。要 CodeDeploy 在 CodeDeploy 控制台中使用，您必须拥有以下服务的权限：

Amazon EC2 Auto Scaling
Amazon CodeDeploy
Amazon Elastic Compute Cloud
Elastic Load Balancing
Amazon Identity and Access Management
Amazon Simple Storage Service
Amazon Simple Notification Service
Amazon CloudWatch

如果创建的 IAM policy 比最低权限要求更严格，那么对于具有该 IAM policy 角色的用户，控制台将无法正常运行。为确保这些用户仍然可以使用 CodeDeploy控制台，还要将AWSCodeDeployReadOnlyAccess托管策略附加到分配给该用户的角色，如中所述Amazon 的托管（预定义）策略 CodeDeploy。

对于仅调用 Amazon CLI 或 CodeDeploy API 的用户，您无需为其设置最低控制台权限。

允许用户查看他们自己的权限

该示例说明了如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 Amazon CLI 或 Amazon API 以编程方式完成此操作的权限。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

CodeDeploy Amazon 托管策略的更新

故障排除