Zugriff auf AWS Projektressourcen mit IAM-Rollen gewähren

CodeCatalyst kann auf AWS Ressourcen zugreifen, indem Sie Ihre AWS-Konto mit einem CodeCatalyst Bereich verbinden. Sie können dann die folgenden Servicerollen erstellen und sie zuordnen, wenn Sie Ihr Konto verbinden.

Weitere Informationen zu den Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie unter IAM JSON Policy Elements Reference im IAM-Benutzerhandbuch.

Grundlegendes zur CodeCatalystWorkflowDevelopmentRole-spaceNameServicerolle

Sie können eine IAM-Rolle für Ihren Bereich hinzufügen, mit der Sie Ressourcen in einem verbundenen AWS-Konto Bereich erstellen und darauf zugreifen CodeCatalyst können. Dies wird als Servicerolle bezeichnet. Die einfachste Methode, eine Servicerolle zu erstellen, besteht darin, beim Erstellen des Bereichs eine hinzuzufügen und die CodeCatalystWorkflowDevelopmentRole-spaceNameOption für diese Rolle auszuwählen. Dadurch wird nicht nur die Servicerolle mit der AdministratorAccess angehängten Rolle erstellt, sondern es wird auch die Vertrauensrichtlinie erstellt, die es ermöglicht, die Rolle im Namen von Benutzern in Projekten im Bereich CodeCatalyst zu übernehmen. Die Servicerolle ist auf den Bereich beschränkt, nicht auf einzelne Projekte. Informationen zum Erstellen dieser Rolle finden Sie unter Die CodeCatalystWorkflowDevelopmentRole-spaceNameRolle für Ihr Konto und Ihren Bereich erstellen. Sie können für jeden Bereich in jedem Konto nur eine Rolle erstellen.

Die der CodeCatalystWorkflowDevelopmentRole-spaceNameRolle zugeordnete Richtlinie ist so konzipiert, dass sie mit Projekten funktioniert, die anhand von Plänen im Bereich erstellt wurden. Sie ermöglicht es Benutzern in diesen Projekten, Code mithilfe von Ressourcen im verbundenen AWS-Konto Bereich zu entwickeln, zu erstellen, zu testen und bereitzustellen. Weitere Informationen finden Sie unter Eine Rolle für einen AWS Dienst erstellen.

Die der CodeCatalystWorkflowDevelopmentRole-spaceNameRolle zugeordnete Richtlinie ist die AdministratorAccess verwaltete Richtlinie in AWS. Diese Richtlinie gewährt vollen Zugriff auf alle AWS Aktionen und Ressourcen. Informationen zum JSON-Richtliniendokument in der IAM-Konsole finden Sie unter AdministratorAccess.

Die folgende Vertrauensrichtlinie ermöglicht es CodeCatalyst , die CodeCatalystWorkflowDevelopmentRole-spaceNameRolle zu übernehmen. Weitere Informationen zum CodeCatalyst Vertrauensmodell finden Sie unterDas CodeCatalyst Vertrauensmodell verstehen.

"Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
             "Principal": { 
                "Service": [ 
                    "codecatalyst-runner.amazonaws.com",
                    "codecatalyst.amazonaws.com" 
                ] 
            }, 
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:codecatalyst:::space/spaceId/project/*"
                }
            }
        }
    ]
  

Die CodeCatalystWorkflowDevelopmentRole-spaceNameRolle für Ihr Konto und Ihren Bereich erstellen

Gehen Sie wie folgt vor, um die CodeCatalystWorkflowDevelopmentRole-spaceName Rolle zu erstellen, die für Workflows in Ihrem Bereich verwendet wird. Für jedes Konto, für das Sie IAM-Rollen zur Verwendung in Projekten haben möchten, müssen Sie Ihrem Bereich eine Rolle hinzufügen, z. B. die Entwicklerrolle.

Bevor Sie beginnen, müssen Sie über Administratorrechte verfügen AWS-Konto oder in der Lage sein, mit Ihrem Administrator zusammenzuarbeiten. Weitere Informationen zur Verwendung von IAM-Rollen in finden Sie CodeCatalyst unterErmöglichen des Zugriffs auf AWS Ressourcen mit verbundenen AWS-Konten. AWS-Konten

Die AWSRoleForCodeCatalystSupportServicerolle verstehen

Sie können Ihrem Bereich eine IAM-Rolle hinzufügen, mit der CodeCatalyst Benutzer in einem Bereich Supportanfragen erstellen und darauf zugreifen können. Dies wird als Servicerolle für den Support bezeichnet. Die einfachste Methode, eine Servicerolle für den Support zu erstellen, besteht darin, bei der Erstellung des Bereichs eine weitere hinzuzufügen und die AWSRoleForCodeCatalystSupport Option für diese Rolle auszuwählen. Dadurch werden nicht nur die Richtlinie und die Rolle erstellt, sondern auch die Vertrauensrichtlinie, die es ermöglicht, die Rolle im Namen von Benutzern in Projekten im Bereich CodeCatalyst zu übernehmen. Die Servicerolle ist auf den Bereich beschränkt, nicht auf einzelne Projekte. Informationen zum Erstellen dieser Rolle finden Sie unter Die AWSRoleForCodeCatalystSupportRolle für Ihr Konto und Ihren Bereich erstellen.

Bei der der AWSRoleForCodeCatalystSupport Rolle zugewiesenen Richtlinie handelt es sich um eine verwaltete Richtlinie, die Zugriff auf Supportberechtigungen gewährt. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: AmazonCodeCatalystSupportAccess.

Die Vertrauensrolle für die Richtlinie ermöglicht es CodeCatalyst , die Rolle zu übernehmen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codecatalyst.amazonaws.com",
                    "codecatalyst-runner.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Die AWSRoleForCodeCatalystSupportRolle für Ihr Konto und Ihren Bereich erstellen

Gehen Sie wie folgt vor, um die AWSRoleForCodeCatalystSupport Rolle zu erstellen, die für Supportanfragen in Ihrem Bereich verwendet wird. Die Rolle muss dem angegebenen Rechnungskonto für den Bereich hinzugefügt werden.

Bevor Sie beginnen, müssen Sie über Administratorrechte verfügen AWS-Konto oder in der Lage sein, mit Ihrem Administrator zusammenzuarbeiten. Weitere Informationen zur Verwendung von IAM-Rollen in finden Sie CodeCatalyst unterErmöglichen des Zugriffs auf AWS Ressourcen mit verbundenen AWS-Konten. AWS-Konten

Konfiguration von IAM-Rollen für Workflow-Aktionen in CodeCatalyst

In diesem Abschnitt werden IAM-Rollen und -Richtlinien beschrieben, die Sie zur Verwendung mit Ihrem CodeCatalyst Konto erstellen können. Anweisungen zum Erstellen von Beispielrollen finden Sie unterManuelles Erstellen von Rollen für Workflow-Aktionen. Nachdem Sie Ihre IAM-Rolle erstellt haben, kopieren Sie den Rollen-ARN, um die IAM-Rolle zu Ihrer Kontoverbindung hinzuzufügen und sie Ihrer Projektumgebung zuzuordnen. Weitere Informationen hierzu finden Sie unter IAMRollen zu Kontoverbindungen hinzufügen.

CodeCatalyst Rolle für Amazon S3 S3-Zugriff erstellen

Für CodeCatalyst Workflow-Build-Aktionen können Sie die CodeCatalystWorkflowDevelopmentRole-spaceNameStandard-Servicerolle verwenden oder eine IAM-Rolle mit dem Namen CodeCatalystBuildRoleforS3Access erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsspezifischen Berechtigungen, die zum Ausführen von Aufgaben auf Ressourcen in CodeCatalyst Ihrem System erforderlich ist. AWS CloudFormation AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [{
    "Action": [
        "s3:PutObject",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN",
    "Effect": "Allow"
}]
}

"Resource": "*"

CodeCatalyst Rolle erstellen für AWS CloudFormation

Für CodeCatalyst Workflow-Build-Aktionen können Sie die CodeCatalystWorkflowDevelopmentRole-spaceNameStandard-Servicerolle verwenden oder eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsspezifischen Berechtigungen, die zum Ausführen von Aufgaben auf AWS CloudFormation Ressourcen in Ihrem System CodeCatalyst erforderlich ist. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Die folgenden AWS verwalteten Richtlinien sollten dieser Rolle zugeordnet werden:

CodeCatalyst Rolle für CDK erstellen

Für CodeCatalyst Workflows, die CDK-Build-Aktionen ausführen, wie z. B. die moderne dreistufige Webanwendung, können Sie die CodeCatalystWorkflowDevelopmentRole-spaceNameStandard-Servicerolle verwenden oder eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsspezifischen Berechtigungen, die das Booten und Ausführen von CDK-Build-Befehlen für Ressourcen in Ihrem System CodeCatalyst erfordert. AWS CloudFormation AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:PassRole",
                "iam:GetRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "*"
        }
    ]
}

"Resource": "*"

CodeCatalyst Rolle bereitstellen für AWS CloudFormation

Für CodeCatalyst Workflow-Bereitstellungsaktionen AWS CloudFormation, die verwenden, können Sie die CodeCatalystWorkflowDevelopmentRole-spaceNameStandarddienstrolle verwenden, oder Sie können eine Richtlinie mit bereichsbezogenen Berechtigungen verwenden, die Aufgaben für AWS CloudFormation Ressourcen in Ihrem ausführen CodeCatalyst muss. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

{"Action": [
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:Describe*",
        "cloudformation:UpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:SetStackPolicy",
        "cloudformation:ValidateTemplate",
        "cloudformation:List*",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN",
    "Effect": "Allow"
}

"Resource": "*"

CodeCatalyst Rolle für Amazon EC2 bereitstellen

CodeCatalyst Workflow-Bereitstellungsaktionen verwenden eine IAM-Rolle mit den erforderlichen Berechtigungen. Diese Rolle verwendet eine Richtlinie mit bereichsbezogenen CodeCatalyst Berechtigungen, die zur Ausführung von Aufgaben auf Amazon EC2 EC2-Ressourcen in Ihrem erforderlich ist. AWS-Konto Die Standardrichtlinie für die CodeCatalystWorkflowDevelopmentRole-spaceNameRolle beinhaltet keine Berechtigungen für Amazon EC2 oder Amazon EC2 Auto Scaling.

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
 "autoscaling:CompleteLifecycleAction",
"autoscaling:DeleteLifecycleHook",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeLifecycleHooks",
"autoscaling:PutLifecycleHook",
"autoscaling:RecordLifecycleActionHeartbeat",
"autoscaling:CreateAutoScalingGroup",
"autoscaling:UpdateAutoScalingGroup",
"autoscaling:EnableMetricsCollection",
"autoscaling:DescribePolicies",
"autoscaling:DescribeScheduledActions",
"autoscaling:DescribeNotificationConfigurations",
"autoscaling:SuspendProcesses",
"autoscaling:ResumeProcesses",
"autoscaling:AttachLoadBalancers",
"autoscaling:AttachLoadBalancerTargetGroups",
"autoscaling:PutScalingPolicy",
"autoscaling:PutScheduledUpdateGroupAction",
"autoscaling:PutNotificationConfiguration",
"autoscaling:PutWarmPool",
"autoscaling:DescribeScalingActivities",
"autoscaling:DeleteAutoScalingGroup",
"ec2:DescribeInstances",
"ec2:DescribeInstanceStatus",
"ec2:TerminateInstances",
"tag:GetResources",
"sns:Publish",
"cloudwatch:DescribeAlarms",
"cloudwatch:PutMetricAlarm",
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeInstanceHealth",
"elasticloadbalancing:RegisterInstancesWithLoadBalancer",
"elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
"elasticloadbalancing:DescribeTargetGroups",
"elasticloadbalancing:DescribeTargetHealth",
"elasticloadbalancing:RegisterTargets",
"elasticloadbalancing:DeregisterTargets"
],
"Resource": "resource_ARN"
      }
   ]
}

"Resource": "*"

CodeCatalyst Rolle für Amazon ECS bereitstellen

Für CodeCatalyst Workflow-Aktionen können Sie eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Sie können die CodeCatalystWorkflowDevelopmentRole-spaceNameStandard-Servicerolle verwenden oder eine IAM-Rolle für CodeCatalyst Bereitstellungsaktionen erstellen, die für Lambda-Bereitstellungen verwendet werden sollen. Diese Rolle verwendet eine Richtlinie mit bereichsbezogenen CodeCatalyst Berechtigungen, die zur Ausführung von Aufgaben auf Amazon ECS-Ressourcen in Ihrem erforderlich ist. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [{
    "Action":[
      "ecs:DescribeServices",
      "ecs:CreateTaskSet",
      "ecs:DeleteTaskSet",
      "ecs:ListClusters",
      "ecs:RegisterTaskDefinition",
      "ecs:UpdateServicePrimaryTaskSet",
      "ecs:UpdateService",
      "elasticloadbalancing:DescribeTargetGroups",
      "elasticloadbalancing:DescribeListeners",
      "elasticloadbalancing:ModifyListener",
      "elasticloadbalancing:DescribeRules",
      "elasticloadbalancing:ModifyRule",
      "lambda:InvokeFunction",
      "lambda:ListFunctions",
      "cloudwatch:DescribeAlarms",
      "sns:Publish",
      "sns:ListTopics", 
      "s3:GetObject",
      "s3:GetObjectVersion",
      "codedeploy:CreateApplication", 
      "codedeploy:CreateDeployment", 
      "codedeploy:CreateDeploymentGroup", 
      "codedeploy:GetApplication", 
      "codedeploy:GetDeployment", 
      "codedeploy:GetDeploymentGroup", 
      "codedeploy:ListApplications", 
      "codedeploy:ListDeploymentGroups", 
      "codedeploy:ListDeployments", 
      "codedeploy:StopDeployment", 
      "codedeploy:GetDeploymentTarget", 
      "codedeploy:ListDeploymentTargets", 
      "codedeploy:GetDeploymentConfig", 
      "codedeploy:GetApplicationRevision", 
      "codedeploy:RegisterApplicationRevision", 
      "codedeploy:BatchGetApplicationRevisions", 
      "codedeploy:BatchGetDeploymentGroups", 
      "codedeploy:BatchGetDeployments", 
      "codedeploy:BatchGetApplications", 
      "codedeploy:ListApplicationRevisions", 
      "codedeploy:ListDeploymentConfigs", 
      "codedeploy:ContinueDeployment"           
   ],
   "Resource":"*",
   "Effect":"Allow"
},{"Action":[
      "iam:PassRole"
   ],
   "Effect":"Allow",
   "Resource":"*",
   "Condition":{"StringLike":{"iam:PassedToService":[
            "ecs-tasks.amazonaws.com",
            "codedeploy.amazonaws.com"
         ]
      }
   }
}]
}

"Resource": "*"

CodeCatalyst Rolle für Lambda bereitstellen

Für CodeCatalyst Workflow-Aktionen können Sie eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Sie können die CodeCatalystWorkflowDevelopmentRole-spaceNameStandard-Servicerolle verwenden oder eine IAM-Rolle für CodeCatalyst Bereitstellungsaktionen erstellen, die für Lambda-Bereitstellungen verwendet werden sollen. Diese Rolle verwendet eine Richtlinie mit bereichsbezogenen Berechtigungen, die Aufgaben auf Lambda-Ressourcen in Ihrem ausführen CodeCatalyst muss. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:UpdateAlias",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig",
                "sns:Publish"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": "arn:aws:lambda:::function:CodeDeployHook_*",
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

CodeCatalyst Rolle für Lambda bereitstellen

Für CodeCatalyst Workflow-Aktionen können Sie die CodeCatalystWorkflowDevelopmentRole-spaceNameStandard-Servicerolle verwenden oder eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsbezogenen Berechtigungen, die Aufgaben auf Lambda-Ressourcen in Ihrem ausführen CodeCatalyst muss. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:UpdateAlias",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig",
                "sns:Publish"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": "arn:aws:lambda:::function:CodeDeployHook_*",
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

CodeCatalyst Rolle bereitstellen für AWS SAM

Für CodeCatalyst Workflow-Aktionen können Sie die CodeCatalystWorkflowDevelopmentRole-spaceNameStandard-Servicerolle verwenden oder eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsspezifischen CodeCatalyst Berechtigungen, die für die Ausführung von Aufgaben AWS SAM und AWS CloudFormation Ressourcen in Ihrem System erforderlich ist. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "iam:PassRole",
                "iam:DeleteRole",
                "iam:GetRole",
                "iam:TagRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
                "cloudformation:*",
                "lambda:*",
                "apigateway:*"
            ],
            "Resource": "*"
        }
    ]
}

"Resource": "*"

CodeCatalyst Nur-Lese-Rolle für Amazon EC2

Für CodeCatalyst Workflow-Aktionen können Sie eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsbezogenen CodeCatalyst Berechtigungen, die zur Ausführung von Aufgaben auf Amazon EC2 EC2-Ressourcen in Ihrem erforderlich ist. AWS-Konto Die CodeCatalystWorkflowDevelopmentRole-spaceNameServicerolle beinhaltet keine Berechtigungen für Amazon EC2 oder die beschriebenen Aktionen für Amazon CloudWatch.

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:Describe",
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:Describe",
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:Describe"
            ],
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:Describe",
            "Resource": "resource_ARN"
        }
    ]
}

"Resource": "*"

CodeCatalyst Nur-Lese-Rolle für Amazon ECS

Für CodeCatalyst Workflow-Aktionen können Sie eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsbezogenen CodeCatalyst Berechtigungen, die zur Ausführung von Aufgaben auf Amazon ECS-Ressourcen in Ihrem erforderlich ist. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende Richtlinie:

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ecs:DescribeServices",
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
       {
            "Action": [
                "elasticloadbalancing:DescribeTargetGroups",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeRules"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
       {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam:::role/ecsTaskExecutionRole",
                "arn:aws:iam:::role/ECSTaskExecution"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

"Resource": "*"

CodeCatalyst Nur-Lese-Rolle für Lambda

Für CodeCatalyst Workflow-Aktionen können Sie eine IAM-Rolle mit den erforderlichen Berechtigungen erstellen. Diese Rolle verwendet eine Richtlinie mit bereichsbezogenen Berechtigungen, die Aufgaben auf Lambda-Ressourcen in Ihrem ausführen CodeCatalyst muss. AWS-Konto

Diese Rolle gewährt Berechtigungen für Folgendes:

Diese Rolle verwendet die folgende -Richtlinie.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

Manuelles Erstellen von Rollen für Workflow-Aktionen

CodeCatalyst Workflow-Aktionen verwenden von Ihnen erstellte IAM-Rollen, die als Build-Rolle, Bereitstellungsrolle und Stack-Rolle bezeichnet werden.

Gehen Sie wie folgt vor, um diese Rollen in IAM zu erstellen.

Wird AWS CloudFormation zur Erstellung von Richtlinien und Rollen in IAM verwendet

Sie können AWS CloudFormation Vorlagen erstellen und verwenden, um die Richtlinien und Rollen zu erstellen, die Sie AWS-Konto für den Zugriff auf Ressourcen in Ihren CodeCatalyst Projekten und Workflows benötigen. AWS CloudFormation ist ein Service, der Ihnen hilft, Ihre AWS Ressourcen zu modellieren und einzurichten, sodass Sie weniger Zeit mit der Verwaltung dieser Ressourcen verbringen und sich mehr auf Ihre Anwendungen konzentrieren können, auf denen sie ausgeführt AWS werden. Wenn Sie beabsichtigen, Rollen in mehreren zu erstellen AWS-Konten, kann Ihnen das Erstellen einer Vorlage dabei helfen, diese Aufgabe schneller auszuführen.

Mit der folgenden Beispielvorlage werden eine Rolle und eine Richtlinie für Bereitstellungsaktionen erstellt.

Parameters:
  CodeCatalystAccountId:
    Type: String
    Description: Account ID from the connections page
  ExternalId:
    Type: String
    Description: External ID from the connections page
Resources:
  CrossAccountRole:
    Type: 'AWS::IAM::Role'
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - !Ref CodeCatalystAccountId
            Action:
              - 'sts:AssumeRole'
            Condition:
              StringEquals:
                sts:ExternalId: !Ref ExternalId
      Path: /
      Policies:
        - PolicyName: CodeCatalyst-CloudFormation-action-policy
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action:
                  - 'cloudformation:CreateStack'
                  - 'cloudformation:DeleteStack'
                  - 'cloudformation:Describe*'
                  - 'cloudformation:UpdateStack'
                  - 'cloudformation:CreateChangeSet'
                  - 'cloudformation:DeleteChangeSet'
                  - 'cloudformation:ExecuteChangeSet'
                  - 'cloudformation:SetStackPolicy'
                  - 'cloudformation:ValidateTemplate'
                  - 'cloudformation:List*'
                  - 'iam:PassRole'
                Resource: '*'

Manuelles Erstellen der Rolle für den Webanwendungs-Blueprint

Der CodeCatalyst Webanwendungs-Blueprint verwendet von Ihnen erstellte IAM-Rollen, die als Build-Rolle für CDK, Bereitstellungsrolle und Stack-Rolle bezeichnet werden.

Gehen Sie wie folgt vor, um die Rolle in IAM zu erstellen.

Manuelles Erstellen von Rollen für den SAM-Blueprint

Der CodeCatalyst SAM-Blueprint verwendet von Ihnen erstellte IAM-Rollen, die als Build-Rolle für CloudFormation und Bereitstellungsrolle für SAM bezeichnet werden.

Gehen Sie wie folgt vor, um die Rollen in IAM zu erstellen.