在中 CodePipeline 创建使用其他 Amazon 账户资源的管道

使用 Ac coun Amazon Web Services Management Console tA 登录并打开控制台。 Amazon KMS

在左侧，选择 客户管理的密钥。

选择 Create key。在配置密钥中，保留默认选中的对称，然后选择下一步。

在别名中，输入用于此密钥的别名（例如，PipelineName-Key）。（可选）提供有关该密钥的描述和标签，然后选择下一步。

在定义密钥管理权限中，选择您希望作为该密钥管理员的一个或多个角色，然后选择下一步。

在 “定义密钥使用权限” 中的 “此帐户” 下，选择管道的服务角色名称（例如 CodePipeline _Service_Role）。在 “其他 Amazon 账户” 下，选择 “添加其他 Amazon 账户”。输入 AccountB 的账户 ID 以完成 ARN，然后选择下一步。

在审核和编辑密钥策略中审核策略，然后选择完成。

从密钥列表中选择密钥的别名并复制其 ARN（例如 arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE）。在您编辑您的管道和配置策略时将会需要此密钥。

使用 Ac coun Amazon Web Services Management Console tA 登录并打开亚马逊 S3 控制台，网址为 https://console.aws.amazon.com/s3/。

在 Amazon S3 桶列表中，选择用于存储您的管道构件的 Amazon S3 桶。此存储桶命名codepipeline-region-1234567EXAMPLE，其中区域是您创建管道的 Amazon 区域，1234567EXAMPLE 是一个十位数的随机数，可确保存储桶名称的唯一性（例如，-2-1234567890）。codepipeline-us-east

在 Amazon S3 桶的详细信息页面上，选择属性。

在属性窗格中，展开 Permissions，然后选择 Add bucket policy。

在桶策略编辑器窗口中，键入以下策略。这将允许 AccountB 访问管道项目，并且如果某个操作 (比如自定义源或生成操作) 创建了这些管道项目，则将为 AccountB 提供添加输出项目的功能。

在该示例中，AccountB 的 ARN 为 012ID_ACCOUNT_B。亚马逊 S3 存储桶的 ARN 为 -2-1234567890 codepipeline-us-east。将这些 ARN 分别替换为要允许访问的账户的 ARN 和 Amazon S3 桶的 ARN：

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

选择 Save，然后关闭策略编辑器。

选择保存以保存 Amazon S3 桶的权限。

使用 Ac coun Amazon Web Services Management Console tA 登录并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在角色列表中的角色名称下，选择其服务角色的名称 CodePipeline。

在权限选项卡上，选择添加内联策略。

选择 JSON 选项卡，然后输入以下策略以允许 AccountB 代入该角色。在以下示例中，012ID_ACCOUNT_B 是 AccountB 的 ARN：

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择 创建策略。

使用 A ccoun Amazon Web Services Management Console tB 登录并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在角色列表中的角色名称下，选择用作 CodeDeploy 应用程序的 Amazon EC2 实例角色的服务角色的名称。该角色名称可能不同，而且多个实例角色可以由一个部署组使用。有关更多信息，请参阅为 Amazon EC2 实例创建 IAM 实例配置文件。

在权限选项卡上，选择添加内联策略。

选择 JSON 选项卡，然后输入以下策略以授予对 Ac countA 用来存储管道工件的 Amazon S3 存储桶的访问权限（在本示例中为 codepipeline-us-east-2- 1234567890）：

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择 创建策略。

创建第二个策略，说明在 Accoun arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE tA 中创建并配置为允许 AccountB 使用的客户托管密钥的 ARN 在 Amazon KMS 哪里：

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择 创建策略。

使用 A ccoun Amazon Web Services Management Console tB 登录并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam。

在导航窗格中，选择角色。选择 创建角色。

在选择受信任实体的类型下，选择其他 Amazon 账户。在 “指定可以使用此角色的账户 ID” 下，输入要在中创建管道的账户的账户 ID CodePipeline（ac countA），然后选择下一步：权限。 Amazon

在 “附加权限策略” 下，选择 AmazonS3 ReadOnlyAccess，然后选择 “下一步：标签”。

选择 下一步: 审核。在角色名称中键入此角色的名称（例如，CrossAccount_R ole）。您可以任意命名该角色，只要其遵循 IAM 中的命名约定即可。考虑为该角色使用一个明确指明其用途的名称。请选择 创建角色。

从角色列表中选择您刚刚创建的角色（例如 CrossAccount_Role），以打开该角色的 “摘要” 页面。

在权限选项卡上，选择添加内联策略。

选择 JSON 选项卡，然后输入以下策略以允许访问 CodeDeploy 资源：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择 创建策略。

在权限选项卡上，选择添加内联策略。

在策略文档中，键入以下策略以允许该角色从 AccountA 的 Amazon S3 桶中检索输入构件，或者将输出构件放入该桶中：

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择 创建策略。

在 “权限” 选项卡上，在 “策略名称” 下的策略列表ReadOnlyAccess中找到 AmazonS3，然后选择策略旁边的删除图标 (X)。系统提示时，选择 Detach。

选择 “信任关系” 选项卡，然后选择 “编辑信任策略”。选择左栏中的添加委托人选项。对于委托人类型，选择 IAM 角色，然后在 AccountA 中提供该 CodePipeline 服务角色的 ARN。arn:aws:iam::Account_A:root从 “Amazon 委托人” 列表中删除，然后选择 “更新策略”。

在终端（Linux、macOS 或 Unix）或命令提示符 (Windows) 中，对您要添加资源的管道运行 get-pipeline 命令。将命令输出复制到 JSON 文件。例如，对于名为的管道 MyFirstPipeline，您可以键入类似于以下内容的内容：

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

输出将发送到 pipeline.json 文件。

在任何纯文本编辑器中打开 JSON 文件。进入项目存储后"type": "S3"，添加 KMS 加密密钥、ID 和类型信息，codepipeline-us-east其中 -2-1234567890 是用于存储管道项目的 Amazon S3 存储桶的名称，也是您刚刚创建的客户托arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE管密钥的 ARN：

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

在阶段添加部署操作以使用与 A ccountB 关联的 CodeDeploy 资源，包括您创建的跨账户角色 (CrossAccount_Role) 的roleArn值。

以下示例显示了添加名为的部署操作的 JSON ExternalDeploy。它使用在名为 “暂存” 的阶段中在 AccountB 中创建的 CodeDeploy 资源。在以下示例中，AccountB 的 ARN 是 012ID_ACCOUNT_B：

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

您必须从文件中删除 metadata 行以便 update-pipeline 命令可以使用它。从 JSON 文件中的管道结构中删除该部分（"metadata": { } 行以及 "created"、"pipelineARN" 和 "updated" 字段）。

例如，从结构中删除以下各行：

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

保存该文件。

要应用更改，请运行 update-pipeline 命令并指定一个管道 JSON 文件，类似于以下内容：

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

该命令会返回编辑后的管道的整个结构。

在终端（Linux、macOS 或 Unix）或命令提示符 (Windows) 中，运行 start-pipeline-execution 命令，指定管道的名称，类似下面这样：

aws codepipeline start-pipeline-execution --name MyFirstPipeline

有关更多信息，请参阅 手动启动管道。

使用 Ac coun Amazon Web Services Management Console tA 登录并打开 CodePipeline控制台，网址为 http://console.aws.amazon.com/codesuite/codepipeline/home。

将显示与您的 Amazon 账户关联的所有管道的名称。

在名称中，选择您刚编辑的管道的名称。这将打开管道的详细视图，包括管道每个阶段中每个操作的状态。

观看管道中的进度。等待有关使用与其他 Amazon 账户关联的资源的操作的成功消息。