Cifre los resultados de la compilación mediante una clave gestionada por el cliente

Si sigue los pasos descritos Primeros pasos con la consola AWS CodeBuild para acceder por primera vez, lo más probable es que no necesite la información de este tema. Sin embargo, a medida que vaya utilizándolo CodeBuild, puede que desee hacer cosas como cifrar los artefactos de construcción.

AWS CodeBuild Para cifrar los artefactos de salida de su compilación, necesita tener acceso a una KMS clave. De forma predeterminada, CodeBuild usa el Clave administrada de AWS de Amazon S3 en su AWS cuenta.

Si no quiere usar la Clave administrada de AWS, debe crear y configurar usted mismo una clave administrada por el cliente. En esta sección se describe cómo hacerlo con la IAM consola.

Para obtener más información acerca de las claves administradas por el cliente, consulte Conceptos de AWS Key Management Service y Creación de claves en la Guía para desarrolladores de AWS KMS .

Para configurar una clave gestionada por el cliente para su uso CodeBuild, siga las instrucciones de la sección «Cómo modificar una política de claves» de la sección Modificación de una política de claves de la Guía para AWS KMS desarrolladores. A continuación, añada las siguientes instrucciones (entre ### BEGIN ADDING STATEMENTS HERE ### y ### END ADDING STATEMENTS HERE ###) a la política clave. Los puntos suspensivos (...) se usan por motivos de brevedad y para ayudarle a encontrar el lugar donde debe añadir las instrucciones. No elimine ninguna instrucción ni incluya estos puntos suspensivos en la política de la clave.

{
  "Version": "2012-10-17",
  "Id": "...",
  "Statement": [
    ### BEGIN ADDING STATEMENTS HERE ###
    {
      "Sid": "Allow access through Amazon S3 for all principals in the account that are authorized to use Amazon S3",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "s3.region-ID.amazonaws.com",
          "kms:CallerAccount": "account-ID"
        }
      }
    },
    {
      "Effect": "Allow", 
      "Principal": {
        "AWS": "arn:aws:iam::account-ID:role/CodeBuild-service-role"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    ### END ADDING STATEMENTS HERE ###
    {
      "Sid": "Enable IAM User Permissions",
      ...
    },
    {
      "Sid": "Allow access for Key Administrators",
      ...
    },
    {
      "Sid": "Allow use of the key",
      ...
    },
    {
      "Sid": "Allow attachment of persistent resources",
      ...
    }
  ]
}