在中 CodePipeline 创建使用其他 Amazon 账户资源的管道

使用登录 Amazon Web Services Management Console AccountA 然后打开 Amazon KMS 控制台。

在左侧，选择 客户管理的密钥。

选择 Create key。在配置密钥中，保留默认选中的对称，然后选择下一步。

在别名中，输入用于此密钥的别名（例如，PipelineName-Key)。 （可选）提供此密钥的描述和标签，然后选择 “下一步”。

在定义密钥管理权限中，选择您希望作为该密钥管理员的一个或多个角色，然后选择下一步。

在 “定义密钥使用权限” 中的 “此帐户” 下，选择管道的服务角色名称（例如 CodePipeline _Service_Role）。在 “其他 Amazon 账户” 下，选择 “添加其他 Amazon 账户”。输入的账户 ID AccountB 完成ARN，然后选择 “下一步”。

在审核和编辑密钥策略中审核策略，然后选择完成。

从密钥列表中选择密钥的别名并复制其别名ARN（例如arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE）。在您编辑您的管道和配置策略时将会需要此密钥。

使用登录 Amazon Web Services Management Console AccountA 然后打开 Amazon S3 控制台，网址为https://console.aws.amazon.com/s3/。

在 Amazon S3 桶列表中，选择用于存储您的管道构件的 Amazon S3 桶。这个存储桶的名字是codepipeline-region-1234567EXAMPLE，其中 region 是您创建管道的 Amazon 区域，1234567EXAMPLE 是一个十位数的随机数，用于确保存储桶名称的唯一性（例如，codepipeline-us-east-2-1234567890).

在 Amazon S3 桶的详细信息页面上，选择属性。

在属性窗格中，展开 Permissions，然后选择 Add bucket policy。

在桶策略编辑器窗口中，键入以下策略。这将允许 AccountB 访问管道工件，并将提供 AccountB 如果某个操作（例如自定义源代码或生成操作）创建了输出工件，则能够添加它们。

在以下示例中，ARN是 AccountB 为 012ID_ACCOUNT_B。 Amazon S3 存储桶的是 ARN codepipeline-us-east-2-1234567890。 将它们ARNs替换为您想要允许访问的账户和 Amazon S3 存储桶的：ARNARN

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

选择 Save，然后关闭策略编辑器。

选择保存以保存 Amazon S3 桶的权限。

使用登录 Amazon Web Services Management Console AccountA 然后打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在角色列表中的角色名称下，选择其服务角色的名称 CodePipeline。

在权限选项卡上，选择添加内联策略。

选择JSON选项卡，然后输入以下策略以允许 AccountB 来扮演这个角色。在以下示例中，012ID_ACCOUNT_B 是 fo ARN r AccountB:

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

使用登录 Amazon Web Services Management Console AccountB 然后打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在角色列表中的角色名称下，选择用作 CodeDeploy 应用程序的 Amazon EC2 实例角色的服务角色的名称。该角色名称可能不同，而且多个实例角色可以由一个部署组使用。有关更多信息，请参阅为您的 Amazon IAM 实例创建EC2实例配置文件。

在权限选项卡上，选择添加内联策略。

选择JSON选项卡，然后输入以下策略以授予对所使用的 Amazon S3 存储桶的访问权限 AccountA 存储管道的工件（在本例中，codepipeline-us-east-2-1234567890):

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

为在中创建的客户托管密钥ARN的 Amazon KMS 位置arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE创建第二个策略 AccountA 并配置为允许 AccountB 要使用它：

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

使用登录 Amazon Web Services Management Console AccountB 然后在 https://console.aws.amazon.com/ia IAM m 上打开控制台。

在导航窗格中，选择角色。选择 Create role（创建角色）。

在选择受信任实体的类型下，选择其他 Amazon 账户。在 “指定可以使用此角色的账户” 下，在 “账户 ID” 中 Amazon ，输入要在中创建管道的账户的账户 ID CodePipeline (AccountA)，然后选择 “下一步：权限”。

在 “附加权限策略” 下，选择 AmazonS3 ReadOnlyAccess，然后选择 “下一步：标签”。

选择下一步：审核。在角色名称中键入此角色的名称（例如 CrossAccount_Role)。 你可以随心所欲地为这个角色命名，只要它遵循中的命名惯例即可IAM。考虑为该角色使用一个明确指明其用途的名称。请选择 Create Role(创建角色)。

从角色列表中选择您刚刚创建的角色（例如，CrossAccount_Role) 打开该角色的 “摘要” 页面。

在权限选项卡上，选择添加内联策略。

选择JSON选项卡，然后输入以下策略以允许访问 CodeDeploy 资源：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

在权限选项卡上，选择添加内联策略。

选择JSON选项卡，然后输入以下策略，以允许此角色从中的 Amazon S3 存储桶中检索输入项目，并将输出项目放入 Amazon S3 存储桶中 AccountA:

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

在 “权限” 选项卡上，在 “策略名称” 下的策略列表ReadOnlyAccess中找到 AmazonS3，然后选择策略旁边的删除图标 (X)。系统提示时，选择 Detach。

选择 “信任关系” 选项卡，然后选择 “编辑信任策略”。选择左栏中的添加委托人选项。对于委托人类型，选择IAM角色，然后在中ARN为 CodePipeline 服务角色提供 AccountA。 arn:aws:iam::Account_A:root从 “Amazon 委托人” 列表中删除，然后选择 “更新策略”。

在终端（Linux、macOS 或 Unix）或命令提示符 (Windows) 中，对您要添加资源的管道运行 get-pipeline 命令。将命令输出复制到JSON文件中。例如，对于名为的管道 MyFirstPipeline，您可以键入类似于以下内容的内容：

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

输出将发送到 pipeline.json 文件。

在任何纯文本编辑器中打开该JSON文件。进入工件存储"type": "S3"区后，在其中添加KMSencryptionKey、ID 和键入信息 codepipeline-us-east-2-1234567890 是用于存储管道工件的 Amazon S3 存储桶的名称，arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE也是您刚刚创建ARN的客户托管密钥的名称：

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

在阶段中添加部署操作以使用与之关联的 CodeDeploy 资源 AccountB，包括您创建的跨账户角色的roleArn值 (CrossAccount_Role).

以下示例显示如何JSON添加名为的部署操作 ExternalDeploy。 它使用中创建的 CodeDeploy 资源 AccountB 在一个名为的舞台上 Staging。 在以下示例中，fo ARN r AccountB 为 012ID_ACCOUNT_B:

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

您必须从文件中删除 metadata 行以便 update-pipeline 命令可以使用它。从JSON文件中的管道结构中移除该部分（"metadata": { }行和"created""pipelineARN"、和"updated"字段）。

例如，从结构中删除以下各行：

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

保存该文件。

要应用您的更改，请运行update-pipeline命令并指定管道JSON文件，类似于以下内容：

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

该命令会返回编辑后的管道的整个结构。

在终端（Linux、macOS 或 Unix）或命令提示符 (Windows) 中，运行 start-pipeline-execution 命令，指定管道的名称，类似下面这样：

aws codepipeline start-pipeline-execution --name MyFirstPipeline

有关更多信息，请参阅 手动启动管道。

使用登录 Amazon Web Services Management Console AccountA 然后打开 CodePipeline控制台，网址为 http://console.aws.amazon.com/codesuite/codepipeline/home。

将显示与您的 Amazon 账户关联的所有管道的名称。

在名称中，选择您刚编辑的管道的名称。这将打开管道的详细视图，包括管道每个阶段中每个操作的状态。

观看管道中的进度。等待有关使用与其他 Amazon 账户关联的资源的操作的成功消息。