Erstellen Sie eine Pipeline CodePipeline , in der Ressourcen von einem anderen AWS Konto verwendet werden

Melden Sie sich AWS Management Console mit an AccountA und öffne die AWS KMS Konsole.

Wählen Sie links Customer managed keys (Vom Kunden verwaltete Schlüssel) aus.

Klicken Sie auf Create key. Lassen Sie unter Configure key (Schlüssel konfigurieren) die Standardeinstellung Symmetric (Symmetrisch) ausgewählt und wählen Sie Next (Weiter) aus.

Geben Sie im Feld Alias einen Alias ein, der für diesen Schlüssel verwendet werden soll (z. B. PipelineName-Key). Geben Sie optional eine Beschreibung und Tags für diesen Schlüssel ein und wählen Sie dann Weiter.

Wählen Sie unter Wichtige Administratorberechtigungen definieren die Rolle oder Rollen aus, die Sie als Administratoren für diesen Schlüssel verwenden möchten, und klicken Sie dann auf Weiter.

Wählen Sie unter Schlüsselverwendungsberechtigungen definieren unter Dieses Konto den Namen der Servicerolle für die Pipeline aus (z. B. CodePipeline _Service_Role). Wählen Sie unter Andere AWS Konten die Option Weiteres Konto hinzufügen aus. AWS Geben Sie die Konto-ID für ein AccountB um den Vorgang abzuschließenARN, und wählen Sie dann Weiter.

Überprüfen Sie die Richtlinie in Preview Key Policy (Vorschau der Schlüsselrichtlinie) und wählen Sie dann Finish (Beenden) aus.

Wählen Sie aus der Schlüsselliste den Alias Ihres Schlüssels aus und kopieren Sie ARN ihn (z. B.arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE). Sie benötigen diese Informationen, wenn Sie Ihre Pipeline bearbeiten und Richtlinien konfigurieren.

Melden Sie sich an mit AWS Management Console AccountA und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

Wählen Sie in der Liste der Amazon S3 S3-Buckets den Amazon S3 S3-Bucket aus, in dem Artefakte für Ihre Pipelines gespeichert sind. Dieser Bucket ist benannt, wo codepipeline-region-1234567EXAMPLE region ist die AWS Region, in der Sie die Pipeline erstellt haben und 1234567EXAMPLE ist eine zehnstellige Zufallszahl, die sicherstellt, dass der Bucket-Name eindeutig ist (z. B. codepipeline-us-east-2-1234567890).

Wählen Sie auf der Detailseite für den Amazon S3 S3-Bucket die Option Eigenschaften aus.

Erweitern Sie im Eigenschaftenbereich das Feld Permissions und wählen Sie Add bucket policy aus.

Geben Sie die folgende Richtlinie in das Fenster Bucket Policy Editor ein. Das wird es ermöglichen AccountB Zugriff auf die Pipeline-Artefakte und wird geben AccountB die Möglichkeit, Ausgabeartefakte hinzuzufügen, wenn sie durch eine Aktion, z. B. eine benutzerdefinierte Quell- oder Build-Aktion, erstellt werden.

Im folgenden Beispiel ARN ist der für AccountB ist 012ID_ACCOUNT_B. Der ARN für den Amazon S3 S3-Bucket ist codepipeline-us-east-2-1234567890. Ersetzen Sie diese ARNs durch das ARN Konto, dem Sie Zugriff gewähren möchten, und das ARN für den Amazon S3 S3-Bucket:

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

Wählen Sie Save und schließen Sie dann den Richtlinien-Editor.

Wählen Sie Speichern, um die Berechtigungen für den Amazon S3 S3-Bucket zu speichern.

Melden Sie sich AWS Management Console mit an AccountA und öffne die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Rollen aus.

Wählen Sie in der Rollenliste unter Rollenname den Namen der Servicerolle für aus CodePipeline.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die JSONRegisterkarte und geben Sie die folgende Richtlinie ein, um dies zuzulassen AccountB um die Rolle zu übernehmen. Im folgenden Beispiel 012ID_ACCOUNT_B ist der ARN für AccountB:

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Create Policy (Richtlinie erstellen) aus.

Melden Sie sich AWS Management Console mit an AccountB und öffne die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Rollen aus.

Wählen Sie in der Rollenliste unter Rollenname den Namen der Servicerolle aus, die als EC2 Amazon-Instance-Rolle für die CodeDeploy Anwendung verwendet wird. Der Rollenname kann unterschiedlich sein. Von einer Bereitstellungsgruppe kann mehr als eine Instance-Rolle verwendet werden. Weitere Informationen finden Sie unter Erstellen Sie ein IAM Instance-Profil für Ihre EC2 Amazon-Instances.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die JSONRegisterkarte und geben Sie die folgende Richtlinie ein, um Zugriff auf den Amazon S3 S3-Bucket zu gewähren, der von verwendet wird AccountA um Artefakte für Pipelines zu speichern (in diesem Beispiel codepipeline-us-east-2-1234567890):

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Create Policy (Richtlinie erstellen) aus.

Erstellen Sie eine zweite Richtlinie für den AWS KMS Speicherort arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE ARN des vom Kunden verwalteten Schlüssels, der in erstellt wurde AccountA und so konfiguriert, dass es erlaubt AccountB um es zu benutzen:

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Create Policy (Richtlinie erstellen) aus.

Melden Sie sich mit an AWS Management Console AccountB und öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam.

Wählen Sie im Navigationsbereich Rollen aus. Wählen Sie Rolle erstellen aus.

Wählen Sie unter Typ der vertrauenswürdigen Entität auswählen die Option Weiteres AWS -Konto aus. Geben Sie unter Konten angeben, die diese Rolle verwenden können, im Feld Konto-ID die AWS Konto-ID für das Konto ein, mit dem die Pipeline erstellt werden soll, in ( CodePipelineAccountA), und wählen Sie dann Weiter: Berechtigungen aus.

Wählen Sie unter Richtlinien zum Anhängen von Berechtigungen die Option ReadOnlyAccess AmazonS3 und dann Weiter: Tags aus.

Wählen Sie Weiter: Prüfen aus. Geben Sie im Feld Rollenname einen Namen für diese Rolle ein (z. B. CrossAccount_Role). Sie können dieser Rolle einen beliebigen Namen geben, solange sie den Benennungskonventionen unter entsprichtIAM. Geben Sie der Rolle einen Namen, der ihren Zweck eindeutig beschreibt. Wählen Sie Create Role aus.

Wählen Sie aus der Rollenliste die Rolle aus, die Sie gerade erstellt haben (zum Beispiel CrossAccount_Role), um die Übersichtsseite für diese Rolle zu öffnen.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die JSONRegisterkarte und geben Sie die folgende Richtlinie ein, um den Zugriff auf CodeDeploy Ressourcen zu ermöglichen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Create Policy (Richtlinie erstellen) aus.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die JSONRegisterkarte und geben Sie die folgende Richtlinie ein, damit diese Rolle Eingabeartefakte aus dem Amazon S3 S3-Bucket abrufen und Ausgabeartefakte in diesen ablegen kann AccountA:

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Create Policy (Richtlinie erstellen) aus.

Suchen Sie auf der Registerkarte Berechtigungen ReadOnlyAccess in der Liste der Richtlinien unter Richtlinienname nach AmazonS3 und wählen Sie das Löschsymbol (X) neben der Richtlinie aus. Wählen Sie nach Aufforderung Detach aus.

Wählen Sie die Registerkarte Vertrauensverhältnis und dann Vertrauensrichtlinie bearbeiten aus. Wählen Sie in der linken Spalte die Option Principal hinzufügen aus. Wählen Sie als Prinzipaltyp die Option IAMRollen aus, und geben Sie dann die ARN für die CodePipeline Servicerolle in AccountA. Entfernen Sie es arn:aws:iam::Account_A:root aus der Liste für AWS Principals und wählen Sie dann Update policy aus.

Führen Sie an einem Terminal (Linux, macOS oder Unix) oder einer Befehlszeile (Windows) den get-pipeline Befehl für die Pipeline aus, zu der Sie Ressourcen hinzufügen möchten. Kopieren Sie die Befehlsausgabe in eine JSON Datei. Für eine Pipeline mit dem Namen würden Sie MyFirstPipeline beispielsweise etwas Ähnliches wie das Folgende eingeben:

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

Die Ausgabe wird gesendet an pipeline.json file.

Öffnen Sie die JSON Datei in einem beliebigen Klartexteditor. Fügen Sie anschließend "type": "S3" im Artefaktspeicher die Informationen KMSencryptionKey, die ID und den Typ hinzu codepipeline-us-east-2-1234567890 ist der Name des Amazon S3 S3-Buckets, der zum Speichern von Artefakten für die Pipeline verwendet wird, und arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE ist der Name ARN des kundenverwalteten Schlüssels, den Sie gerade erstellt haben:

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

Fügen Sie eine Bereitstellungsaktion in einer Phase hinzu, um die zugehörigen CodeDeploy Ressourcen zu verwenden AccountB, einschließlich der roleArn Werte für die kontenübergreifende Rolle, die Sie erstellt haben (CrossAccount_Role).

Das folgende Beispiel zeigtJSON, dass eine Bereitstellungsaktion mit dem Namen hinzugefügt wird ExternalDeploy. Es verwendet die CodeDeploy Ressourcen, die in erstellt wurden AccountB in einer Phase mit dem Namen Staging. Im folgenden Beispiel ist der ARN für AccountB ist 012ID_ACCOUNT_B:

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

Sie müssen die metadata-Zeilen aus der Datei entfernen, damit der Befehl update-pipeline sie verwenden kann. Entfernen Sie den Abschnitt aus der Pipeline-Struktur in der JSON Datei (die "metadata": { } Zeilen und die "updated" Felder "created""pipelineARN", und).

Entfernen Sie z. B. die folgenden Zeilen aus der Struktur:

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

Speichern Sie die Datei.

Um Ihre Änderungen zu übernehmen, führen Sie den update-pipeline Befehl aus und geben Sie dabei die JSON Pipeline-Datei an, ähnlich wie im Folgenden:

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

Dieser Befehl gibt die gesamte Struktur der bearbeiteten Pipeline zurück.

Führen Sie den Befehl an einem Terminal (Linux, macOS oder Unix) oder einer Befehlszeile (Windows) aus und geben Sie dabei den Namen der Pipeline an, ähnlich wie im Folgenden: start-pipeline-execution

aws codepipeline start-pipeline-execution --name MyFirstPipeline

Weitere Informationen finden Sie unter Manuelles Starten einer Pipeline.

Melden Sie sich AWS Management Console bei der an AccountA und öffnen Sie die CodePipeline Konsole unter http://console.aws.amazon.com/codesuite/codepipeline/home.

Die Namen aller mit Ihrem AWS Konto verknüpften Pipelines werden angezeigt.

Wählen Sie im Feld Name den Namen der Pipeline, die Sie soeben bearbeitet haben. Auf diese Weise wird eine detaillierte Ansicht der Pipeline geöffnet (einschließlich des Status der einzelnen Aktionen in den einzelnen Stufen der Pipeline).

Sehen Sie sich den Fortschritt in der Pipeline an. Warten Sie auf eine Erfolgsmeldung für die Aktion, die die mit einem anderen AWS Konto verknüpfte Ressource verwendet.