适用于 Amazon CodePipeline的身份和访问管理

登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam/。

在 IAM 角色控制台的导航窗格中，选择角色，然后从角色列表中选择您的 AWS-CodePipeline-Service 角色。

在权限选项卡上的内联策略中，选择您的服务角色策略所在行中的编辑策略。

在策略文档框中添加所需权限。

例如，为了获得 CodeCommit 支持，请在您的政策声明中添加以下内容：

{
  "Effect": "Allow",
  "Action": [  
      "codecommit:GetBranch",
      "codecommit:GetCommit",
      "codecommit:UploadArchive",
      "codecommit:GetUploadArchiveStatus",      
      "codecommit:CancelUploadArchive"
            ],
  "Resource": "resource_ARN"
},

如需 Amazon OpsWorks 支持，请在您的政策声明中添加以下内容：

{
    "Effect": "Allow",
    "Action": [
        "opsworks:CreateDeployment",
        "opsworks:DescribeApps",
        "opsworks:DescribeCommands",
        "opsworks:DescribeDeployments",
        "opsworks:DescribeInstances",
        "opsworks:DescribeStacks",
        "opsworks:UpdateApp",
        "opsworks:UpdateStack"
    ],
    "Resource": "resource_ARN"
},

如需 Amazon CloudFormation 支持，请在您的政策声明中添加以下内容：

{
    "Effect": "Allow",
    "Action": [
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStacks",
        "cloudformation:UpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DescribeChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:SetStackPolicy",
        "cloudformation:ValidateTemplate",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN"
},

请注意，该 cloudformation:DescribeStackEvents 权限是可选的。它允许 Amazon CloudFormation 操作显示更详细的错误消息。如果您不希望资源详细信息出现在管道错误消息中，可以撤销 IAM 角色的此权限。有关更多信息，请参阅 Amazon CloudFormation。

如需 CodeBuild 支持，请在您的政策声明中添加以下内容：

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuilds",
        "codebuild:StartBuild"
    ],
    "Resource": "resource_ARN"
},

如需 Amazon Device Farm 支持，请在您的政策声明中添加以下内容：

{
    "Effect": "Allow",
    "Action": [
        "devicefarm:ListProjects",
        "devicefarm:ListDevicePools",
        "devicefarm:GetRun",
        "devicefarm:GetUpload",
        "devicefarm:CreateUpload",
        "devicefarm:ScheduleRun"
    ],
    "Resource": "resource_ARN"
},

对于 Service Catalog 支持，请将以下内容添加到策略语句中：

{
    "Effect": "Allow",
    "Action": [
        "servicecatalog:ListProvisioningArtifacts",
        "servicecatalog:CreateProvisioningArtifact",
        "servicecatalog:DescribeProvisioningArtifact",
        "servicecatalog:DeleteProvisioningArtifact",
        "servicecatalog:UpdateProduct"
    ],
    "Resource": "resource_ARN"
},
{
    "Effect": "Allow",
    "Action": [
        "cloudformation:ValidateTemplate"
    ],
    "Resource": "resource_ARN"
}

对于 Amazon ECR 支持，请将以下内容添加到策略语句中：

{
    "Effect": "Allow",
    "Action": [
        "ecr:DescribeImages"
    ],
    "Resource": "resource_ARN"
},

对于 Amazon ECS，以下是创建具有 Amazon ECS 部署操作的管道所需的最低权限。

{
    "Effect": "Allow",
    "Action": [
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        "ecs:DescribeTasks",
        "ecs:ListTasks",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource",
        "ecs:UpdateService"
    ],
    "Resource": "resource_ARN"
},

您可以选择加入以使用 Amazon ECS 中的标记授权。选择加入后，您必须授予以下权限：ecs:TagResource。有关如何选择加入以及如何确定是否需要权限和是否强制执行标记授权的更多信息，请参阅《Amazon Elastic Container Service 开发者指南》中的标记授权时间表。

您还必须添加 iam:PassRole 权限以使用任务 IAM 角色。有关更多信息，请参阅 Amazon ECS 任务执行 IAM 角色和任务 IAM 角色。使用以下策略文本。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

对于CodeDeployToECS操作（蓝/绿部署），以下是使用到 CodeDeploy Amazon ECS 的蓝/绿部署操作创建管道所需的最低权限。

{
    "Effect": "Allow",
    "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetApplication",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision",
        "codedeploy:GetDeploymentConfig",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource"
    ],
    "Resource": "resource_ARN"
},

您可以选择加入以使用 Amazon ECS 中的标记授权。选择加入后，您必须授予以下权限：ecs:TagResource。有关如何选择加入以及如何确定是否需要权限和是否强制执行标记授权的更多信息，请参阅《Amazon Elastic Container Service 开发者指南》中的标记授权时间表。

您还必须添加 iam:PassRole 权限以使用任务 IAM 角色。有关更多信息，请参阅 Amazon ECS 任务执行 IAM 角色和任务 IAM 角色。使用以下策略文本。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

您还可以将 ecs-tasks.amazonaws.com 添加到 iam:PassedToService 条件下的服务列表中，如本示例所示。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "resource_ARN",
            "Condition": {
                "StringEqualsIfExists": {
                    "iam:PassedToService": [
                        "cloudformation.amazonaws.com",
                        "elasticbeanstalk.amazonaws.com",
                        "ec2.amazonaws.com",
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        },

对于 AWS CodeStar 连接，需要以下权限才能使用使用连接的源（例如 Bitbucket Cloud）创建管道。

{
    "Effect": "Allow",
    "Action": [
        "codestar-connections:UseConnection"
    ],
    "Resource": "resource_ARN"
},

有关连接的 IAM 权限的更多信息，请参阅连接权限参考。

对于 StepFunctions 操作，需要以下最低权限才能创建具有 Step Functions 调用操作的管道。

{
    "Effect": "Allow",
    "Action": [
        "states:DescribeStateMachine",
        "states:DescribeExecution",
        "states:StartExecution"
    ],
    "Resource": "resource_ARN"
},

对于该AppConfig操作，以下是使用 Amazon AppConfig 调用操作创建管道所需的最低权限。

{
    "Effect": "Allow",
    "Action": [
        "appconfig:StartDeployment",
        "appconfig:GetDeployment",
        "appconfig:StopDeployment"
    ],
    "Resource": "resource_ARN"
},

要 CodeBuild 支持批量构建，请在您的政策声明中添加以下内容：

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuildBatches",
        "codebuild:StartBuildBatch"
    ],
    "Resource": "resource_ARN"
},

对于 Amazon CloudFormation StackSets 操作，需要以下最低权限。

要 CodeCommit 支持完整克隆选项，请在您的政策声明中添加以下内容：

{
    "Effect": "Allow",
    "Action": [
        "codecommit:GetRepository"
    ],
    "Resource": "resource_ARN"
},

对于 Elastic Beanstalk，需要以下最低权限才能创建具有 ElasticBeanstalk 部署操作的管道。

{
    "Effect": "Allow",
    "Action": [
        "elasticbeanstalk:*",
        "ec2:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "rds:*",
        "sqs:*",
        "ecs:*"
    ],
    "Resource": "resource_ARN"
},

对于要为 CloudWatch 日志配置的管道，以下是您需要向 CodePipeline 服务角色添加的最低权限。

{
    "Effect": "Allow",
    "Action": [
        "logs:DescribeLogGroups",
        "logs:PutRetentionPolicy"
    ],
    "Resource": "resource_ARN"
},

选择查看策略以确保策略不包含错误。当策略正确无误时，选择应用策略。