Erstellen Sie eine Pipeline CodePipeline , in der Ressourcen von einer anderen verwendet werden AWS Konto

Melden Sie sich bei with AWS-Managementkonsole an AccountA und öffnen Sie die AWS KMS Konsole.

Wählen Sie links Customer managed keys (Vom Kunden verwaltete Schlüssel) aus.

Klicken Sie auf Create key. Lassen Sie unter Configure key (Schlüssel konfigurieren) die Standardeinstellung Symmetric (Symmetrisch) ausgewählt und wählen Sie Next (Weiter) aus.

Geben Sie im Feld Alias einen Alias ein, der für diesen Schlüssel verwendet werden soll (z. B.PipelineName-Key). Geben Sie optional eine Beschreibung und die Tags für den Schlüssel ein und wählen Sie dann Next (Weiter) aus.

Wählen Sie unter Wichtige Administratorberechtigungen definieren die Rolle oder Rollen aus, die Sie als Administratoren für diesen Schlüssel verwenden möchten, und klicken Sie dann auf Weiter.

Wählen Sie unter Schlüsselverwendungsberechtigungen definieren unter Dieses Konto den Namen der Servicerolle für die Pipeline aus (z. B. CodePipeline _Service_Role). Wählen Sie unter Andere AWS Konten die Option Weiteres AWS Konto hinzufügen aus. Geben Sie die Konto-ID einAccountB, um den ARN zu vervollständigen, und wählen Sie dann Weiter.

Überprüfen Sie die Richtlinie in Preview Key Policy (Vorschau der Schlüsselrichtlinie) und wählen Sie dann Finish (Beenden) aus.

Wählen Sie aus der Liste der Schlüssel den Alias Ihres Schlüssels aus und kopieren Sie dessen ARN (z. B. arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE). Sie benötigen diese Informationen, wenn Sie Ihre Pipeline bearbeiten und Richtlinien konfigurieren.

Melden Sie sich bei AWS-Managementkonsole with an AccountA und öffnen Sie die Amazon S3-Konsole unter https://console.aws.amazon.com/s3/.

Wählen Sie in der Liste der Amazon S3-Buckets den Amazon S3-Bucket aus, in dem Artefakte für Ihre Pipelines gespeichert werden. Dieser Bucket hat einen Namen. Dabei region handelt es sich um die AWS Regioncodepipeline-region-1234567EXAMPLE, in der Sie die Pipeline erstellt haben, und 1234567EXAMPLE es handelt sich um eine zehnstellige Zufallszahl, die sicherstellt, dass der Bucket-Name eindeutig ist (z. B.). codepipeline-us-east-2-1234567890

Wählen Sie auf der Detailseite für den Amazon S3-Bucket die Option Properties aus.

Erweitern Sie im Eigenschaftenbereich das Feld Permissions und wählen Sie Add bucket policy aus.

Erstellen Sie im Bucket Policy Editor-Fenster eine Richtlinie, die den AccountB Zugriff auf die Pipeline-Artefakte ermöglicht und AccountB die Möglichkeit bietet, Ausgabeartefakte hinzuzufügen, wenn sie durch eine Aktion, z. B. eine benutzerdefinierte Quelle oder eine Build-Aktion, erstellt werden.

Wählen Sie Save und schließen Sie dann den Richtlinien-Editor.

Wählen Sie Speichern, um die Berechtigungen für den Amazon S3-Bucket zu speichern.

Melden Sie sich bei with AWS-Managementkonsole an AccountA und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Rollen.

Wählen Sie in der Liste der Rollen unter Role Name (Rollenname) den Namen der Service-Rolle für CodePipeline aus.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die Registerkarte JSON und geben Sie die folgende Richtlinie ein, um die Übernahme der Rolle AccountB zu ermöglichen. Im folgenden Beispiel 012ID_ACCOUNT_B ist das ARN fürAccountB:

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Richtlinie erstellen aus.

Melden Sie sich bei AWS-Managementkonsole with an AccountB und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

Wählen Sie im Navigationsbereich Rollen.

Wählen Sie in der Rollenliste unter Rollenname den Namen der Servicerolle aus, die als Amazon EC2-Instance-Rolle für die CodeDeploy Anwendung verwendet wird. Der Rollenname kann unterschiedlich sein. Von einer Bereitstellungsgruppe kann mehr als eine Instance-Rolle verwendet werden. Weitere Informationen finden Sie unter Erstellen eines IAM-Instance-Profils für Ihre Amazon EC2-Instances.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die Registerkarte JSON und geben Sie die folgende Richtlinie ein, um Zugriff auf den Amazon S3-Bucket zu gewähren, der von AccountA zum Speichern von Artefakten für Pipelines verwendet wird (in diesem Beispiel): codepipeline-us-east-2-1234567890

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Richtlinie erstellen aus.

Erstellen Sie eine zweite Richtlinie, in der festgelegt arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE wird AWS KMS , wo der ARN des vom Kunden verwalteten Schlüssels angezeigt wird, der erstellt AccountA und so konfiguriert ist, dass er verwendet werden kannAccountB:

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Richtlinie erstellen aus.

Melden Sie sich bei AWS-Managementkonsole with an AccountB und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam

Wählen Sie im Navigationsbereich Rollen aus. Wählen Sie Create role (Rolle erstellen) aus.

Wählen Sie unter Typ der vertrauenswürdigen Entität auswählen die Option Weiteres AWS -Konto aus. Geben Sie unter Konten angeben, die diese Rolle verwenden können, im Feld Konto-ID die AWS Konto-ID für das Konto ein, in dem die Pipeline erstellt werden soll CodePipeline (AccountA), und wählen Sie dann Weiter: Berechtigungen aus.

Wählen AmazonS3ReadOnlyAccess Sie unter Richtlinien zum Anhängen von Berechtigungen die Option und dann Weiter: Tags aus.

Wählen Sie Weiter: Prüfen aus. Geben Sie im Feld Rollenname einen Namen für diese Rolle ein (z. B.CrossAccount_Role). Sie können dieser Rolle einen beliebigen Namen geben, solange sie den Benennungskonventionen in IAM entspricht. Geben Sie der Rolle einen Namen, der ihren Zweck eindeutig beschreibt. Wählen Sie Rolle erstellen aus.

Wählen Sie aus der Rollenliste die Rolle aus, die Sie gerade erstellt haben (z. B.CrossAccount_Role), um die Übersichtsseite für diese Rolle zu öffnen.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die Registerkarte JSON und geben Sie die folgende Richtlinie ein, um den Zugriff auf CodeDeploy Ressourcen zu ermöglichen:

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Richtlinie erstellen aus.

Wählen Sie in der Registerkarte Permissions (Berechtigungen) die Option Add inline policy (Inline-Richtlinie hinzufügen).

Wählen Sie die Registerkarte JSON und geben Sie die folgende Richtlinie ein, damit diese Rolle Eingabeartefakte aus dem Amazon S3-Bucket abrufen und Ausgabeartefakte in den Amazon S3-Bucket einfügen kannAccountA:

Wählen Sie Richtlinie prüfen.

Geben Sie unter Name einen Namen für diese Richtlinie ein. Wählen Sie Richtlinie erstellen aus.

Suchen Sie auf der Registerkarte Berechtigungen AmazonS3ReadOnlyAccess in der Liste der Richtlinien unter Richtlinienname und wählen Sie das Löschsymbol (X) neben der Richtlinie aus. Wählen Sie nach Aufforderung Detach aus.

Wählen Sie die Registerkarte Vertrauensbeziehung und dann Vertrauensrichtlinie bearbeiten aus. Wählen Sie in der linken Spalte die Option Prinzipal hinzufügen aus. Wählen Sie als Principal-Typ die Option IAM-Rollen aus, und geben Sie dann den ARN für die CodePipeline Servicerolle unter anAccountA. arn:aws:iam::Account_A:rootAus der Liste für AWS Principals entfernen, und wählen Sie dann Richtlinie aktualisieren aus.

Führen Sie an einem Terminal (Linux, macOS oder Unix) oder einer Befehlszeile (Windows) den get-pipeline Befehl in der Pipeline aus, zu der Sie Ressourcen hinzufügen möchten. Kopieren Sie die Ausgabe des Befehls in eine JSON-Datei. Für eine Pipeline mit dem Namen MyFirstPipeline geben Sie beispielsweise Folgendes ein:

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

Die Ausgabe wird an die Datei pipeline.json gesendet.

Öffnen Sie die JSON-Datei in einem beliebigen Texteditor. Fügen Sie anschließend "type": "S3" im Artefaktspeicher den KMS-Verschlüsselungsschlüssel, die ID und die Typinformationen hinzu. Dabei codepipeline-us-east-2-1234567890 handelt es sich um den Namen des Amazon S3-Buckets, der zum Speichern von Artefakten für die Pipeline verwendet wird, und arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE um den ARN des kundenverwalteten Schlüssels, den Sie gerade erstellt haben:

{
  "artifactStore": {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

Fügen Sie in einer Phase eine Bereitstellungsaktion hinzu, um die zugehörigen CodeDeploy Ressourcen zu verwendenAccountB, einschließlich der roleArn Werte für die von Ihnen erstellte kontoübergreifende Rolle (). CrossAccount_Role

Das folgende Beispiel zeigt JSON, das eine Bereitstellungsaktion mit dem Namen ExternalDeploy hinzufügt. Es verwendet die CodeDeploy Ressourcen, die AccountB in einer Phase mit dem Namen erstellt wurdenStaging. Im folgenden Beispiel AccountB lautet der ARN für012ID_ACCOUNT_B:

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

Sie müssen die metadata-Zeilen aus der Datei entfernen, damit der Befehl update-pipeline sie verwenden kann. Entfernen Sie den Abschnitt aus der Pipeline-Struktur in der JSON-Datei (die "metadata": { }-Zeilen und die Fehler "created", "pipelineARN" und "updated").

Entfernen Sie z. B. die folgenden Zeilen aus der Struktur:

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

Speichern Sie die Datei.

Führen Sie den Befehl update-pipeline aus, um die Änderungen zu übernehmen. Geben Sie die Pipeline-JSON-Datei dabei folgendermaßen an:

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

Dieser Befehl gibt die gesamte Struktur der bearbeiteten Pipeline zurück.

Führen Sie den Befehl an einem Terminal (Linux, macOS oder Unix) oder einer start-pipeline-execution Befehlszeile (Windows) aus und geben Sie dabei den Namen der Pipeline an, ähnlich dem Folgenden:

aws codepipeline start-pipeline-execution --name MyFirstPipeline

Weitere Informationen finden Sie unter Manuelles Starten einer Pipeline.

Melden Sie sich bei with AWS-Managementkonsole an AccountA und öffnen Sie die CodePipeline Konsole unter http://console.aws.amazon.com/codesuite/codepipeline/home.

Die Namen aller mit Ihrem AWS Konto verknüpften Pipelines werden angezeigt.

Wählen Sie im Feld Name den Namen der Pipeline, die Sie soeben bearbeitet haben. Auf diese Weise wird eine detaillierte Ansicht der Pipeline geöffnet (einschließlich des Status der einzelnen Aktionen in den einzelnen Stufen der Pipeline).

Sehen Sie sich den Fortschritt in der Pipeline an. Warten Sie auf eine Erfolgsmeldung für die Aktion, die die mit einem anderen AWS Konto verknüpfte Ressource verwendet.