Verschlüsseln Sie Build-Ausgaben mit einem vom Kunden verwalteten Schlüssel

Wenn Sie die Schritte AWS CodeBuild für den Zugriff Erste Schritte mit der Konsole zum ersten Mal ausführen, benötigen Sie die Informationen in diesem Thema höchstwahrscheinlich nicht. Wenn Sie die Nutzung jedoch fortsetzen CodeBuild, möchten Sie möglicherweise Dinge wie das Verschlüsseln von Build-Artefakten tun.

AWS CodeBuild Um seine Build-Ausgabeartefakte zu verschlüsseln, benötigt es Zugriff auf einen KMS Schlüssel. CodeBuild Verwendet standardmäßig das Von AWS verwalteter Schlüssel für Amazon S3 in Ihrem AWS Konto.

Wenn Sie den nicht verwenden möchten Von AWS verwalteter Schlüssel, müssen Sie selbst einen vom Kunden verwalteten Schlüssel erstellen und konfigurieren. In diesem Abschnitt wird beschrieben, wie Sie dies mit der IAM Konsole tun.

Informationen zu vom Kunden verwalteten Schlüsseln finden Sie unter AWS Key Management Service Konzepte und Erstellung von Schlüsseln im AWS KMS Entwicklerhandbuch.

Um einen vom Kunden verwalteten Schlüssel für die Verwendung durch zu konfigurieren CodeBuild, folgen Sie den Anweisungen im Abschnitt „So ändern Sie eine Schlüsselrichtlinie“ unter Ändern einer Schlüsselrichtlinie im AWS KMS Entwicklerhandbuch. Fügen Sie dann die folgenden Anweisungen hinzu (zwischen ### BEGIN ADDING STATEMENTS HERE ### and ### END ADDING STATEMENTS HERE ###) zur wichtigsten Richtlinie. Auslassungspunkte (...) werden zur Abkürzung verwendet und weisen auf die Stellen hin, an denen die Anweisungen hinzugefügt werden müssen. Entfernen Sie keine Anweisungen und geben Sie die Auslassungspunkte nicht in die Schlüsselrichtlinie ein.

{
  "Version": "2012-10-17",
  "Id": "...",
  "Statement": [
    ### BEGIN ADDING STATEMENTS HERE ###
    {
      "Sid": "Allow access through Amazon S3 for all principals in the account that are authorized to use Amazon S3",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "s3.region-ID.amazonaws.com",
          "kms:CallerAccount": "account-ID"
        }
      }
    },
    {
      "Effect": "Allow", 
      "Principal": {
        "AWS": "arn:aws:iam::account-ID:role/CodeBuild-service-role"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    ### END ADDING STATEMENTS HERE ###
    {
      "Sid": "Enable IAM User Permissions",
      ...
    },
    {
      "Sid": "Allow access for Key Administrators",
      ...
    },
    {
      "Sid": "Allow use of the key",
      ...
    },
    {
      "Sid": "Allow attachment of persistent resources",
      ...
    }
  ]
}