Crea una canalización CodePipeline que utilice recursos de otra AWS cuenta

Inicie sesión en el AWS Management Console con AccountA y abre la AWS KMS consola.

A la izquierda, seleccione Claves administradas por el cliente.

Elija Create key. En la Configurar clave, deje el valor predeterminado Simétrico seleccionado y elija Siguiente.

En Alias, introduzca un alias para usarlo en esta clave (por ejemplo, PipelineName-Key). Si lo desea, proporcione una descripción y etiquetas para esta clave y, a continuación, seleccione Siguiente.

En Definir permisos de administración de claves, elija su usuario de y cualesquiera otros usuarios o grupos que desee que actúen como administradores de esta clave y, a continuación, elija Siguiente.

En Definir permisos de uso de claves, en Esta cuenta, seleccione el nombre del rol de servicio para la canalización (por ejemplo, CodePipeline _Service_Role). En Otras AWS cuentas, selecciona Añadir otra cuenta. AWS Introduce el ID de cuenta para AccountB para completar el yARN, a continuación, selecciona Siguiente.

En Revisar y editar política de claves, revise la política y, después, elija Terminar.

En la lista de claves, elija el alias de la clave y cópielo ARN (por ejemplo,arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE). Lo necesitará cuando edite la canalización y configure las políticas.

Inicie sesión en el AWS Management Console con AccountA y abra la consola Amazon S3 en https://console.aws.amazon.com/s3/.

En la lista de buckets de Amazon S3, elija el bucket de Amazon S3 en el que se almacenan los artefactos para la canalización. Este depósito se llamacodepipeline-region-1234567EXAMPLE, ¿dónde region es la AWS región en la que creaste la canalización y 1234567EXAMPLE es un número aleatorio de diez dígitos que garantiza que el nombre del bucket sea único (por ejemplo, codepipeline-us-east-2-1234567890).

En la página de detalles del bucket de Amazon S3, elija Propiedades.

En el panel de propiedades, expanda Permisos y después elija Añadir política de bucket.

En la ventana Editor de políticas e bucket, escriba la siguiente política. Esto permitirá AccountB acceso a los artefactos de la tubería, y dará AccountB la posibilidad de añadir artefactos de salida si los crea una acción, como una fuente personalizada o una acción de compilación.

En el siguiente ejemplo, ARN es para AccountB es 012ID_ACCOUNT_B. El ARN para el bucket de Amazon S3 es codepipeline-us-east-2-1234567890. Sustitúyalos ARNs ARN por los de la cuenta a la que quieres permitir el acceso y ARN por los del bucket de Amazon S3:

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

Elija Guardar y, a continuación, cierre el editor de políticas.

Elija Guardar para guardar los permisos para el bucket de Amazon S3.

Inicie sesión en el AWS Management Console con AccountA y abre la IAM consola en https://console.aws.amazon.com/iam/.

Seleccione Roles en el panel de navegación.

En la lista de funciones, en Nombre de la función, elija el nombre de la función de servicio CodePipeline.

En la pestaña Permisos, elija Añadir política en línea.

Seleccione la JSONpestaña e introduzca la siguiente política para permitir AccountB para asumir el rol. En el siguiente ejemplo, 012ID_ACCOUNT_B es el ARN para AccountB:

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Inicia sesión en el AWS Management Console con AccountB y abre la IAM consola en https://console.aws.amazon.com/iam/.

Seleccione Roles en el panel de navegación.

En la lista de funciones, en Nombre de función, elige el nombre de la función de servicio utilizada como función de EC2 instancia de Amazon para la CodeDeploy aplicación. El nombre de este rol puede variar, y un grupo de implementaciones puede usar más de un rol de instancia. Para obtener más información, consulte Crear un perfil de IAM instancia para sus Amazon EC2 Instances.

En la pestaña Permisos, elija Añadir política en línea.

Seleccione la JSONpestaña e introduzca la siguiente política para conceder acceso al bucket de Amazon S3 utilizado por AccountA para almacenar artefactos para canalizaciones (en este ejemplo, codepipeline-us-east-2-1234567890):

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Cree una segunda política para determinar AWS KMS dónde arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE está ARN la clave gestionada por el cliente creada en AccountA y configurada para permitir AccountB para usarlo:

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Inicie sesión en el con AWS Management Console AccountB y abre la IAM consola en https://console.aws.amazon.com/iam.

Seleccione Roles en el panel de navegación. Elija Crear rol.

En Seleccione el tipo de entidad de confianza, elija Otra cuenta de AWS ). En Especificar las cuentas que pueden usar esta función, en ID de cuenta, introduzca el ID de AWS cuenta de la cuenta en la que se creará la canalización ( CodePipelineAccountA) y, a continuación, selecciona Siguiente: permisos.

En Adjuntar políticas de permisos, selecciona AmazonS3 yReadOnlyAccess, a continuación, selecciona Siguiente: etiquetas.

Elija Siguiente: Revisar. Escriba un nombre para este rol en Nombre del rol (por ejemplo, CrossAccount_Role). Puede asignar a este rol el nombre que desee, siempre y cuando siga las convenciones de nomenclatura indicadas enIAM. Considere dar al rol un nombre que indique claramente su finalidad. Elija Crear rol.

En la lista de roles, elige el rol que acabas de crear (por ejemplo, CrossAccount_Role) para abrir la página de resumen de ese rol.

En la pestaña Permisos, elija Añadir política en línea.

Seleccione la JSONpestaña e introduzca la siguiente política para permitir el acceso a CodeDeploy los recursos:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

En la pestaña Permisos, elija Añadir política en línea.

Seleccione la JSONpestaña e introduzca la siguiente política para permitir que esta función recupere los artefactos de entrada y coloque los artefactos de salida en el bucket de Amazon S3 en AccountA:

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

En la pestaña Permisos, busque AmazonS3 ReadOnlyAccess en la lista de políticas que aparece debajo del nombre de la política y elija el icono de eliminación (X) situado junto a la política. Cuando se le pregunte, elija Separar.

Seleccione la pestaña Relación de confianza y, a continuación, elija Editar política de confianza. Elija la opción Añadir un principal en la columna de la izquierda. En el tipo principal, elija IAMFunciones y, a continuación, ARN especifique la función CodePipeline de servicio en AccountA. Elimine arn:aws:iam::Account_A:root de la lista de AWS directores y, a continuación, seleccione Actualizar política.

En un terminal (Linux, macOS o Unix) o el símbolo del sistema (Windows), ejecute el comando get-pipeline para la canalización a la que desea añadir recursos. Copie el resultado del comando en un JSON archivo. Por ejemplo, en el caso de una canalización denominada MyFirstPipeline, escribirías algo parecido a lo siguiente:

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

El resultado se envía al pipeline.json file.

Abra el JSON archivo en cualquier editor de texto sin formato. Una vez "type": "S3" en el almacén de artefactos, añade el KMS encryptionKey identificador y escribe la información donde codepipeline-us-east-2-1234567890 es el nombre del bucket de Amazon S3 que se utiliza para almacenar los artefactos de la canalización y arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE es el ARN de la clave gestionada por el cliente que acaba de crear:

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

Añada una acción de despliegue en una etapa para utilizar los CodeDeploy recursos asociados a AccountB, incluidos los roleArn valores del rol multicuenta que creó (CrossAccount_Role).

En el siguiente ejemplo, JSON se muestra que agrega una acción de despliegue denominada ExternalDeploy. Utiliza los CodeDeploy recursos creados en AccountB en una etapa llamada Staging. En el siguiente ejemplo, el ARN para AccountB es 012ID_ACCOUNT_B:

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

Debe eliminar las líneas metadata del archivo para que el comando update-pipeline pueda utilizarlo. Elimine la sección de la estructura de canalización del JSON archivo (las "metadata": { } líneas y los "updated" campos "created""pipelineARN", y).

Por ejemplo, quite las siguientes líneas de la estructura:

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

Guarde el archivo.

Para aplicar los cambios, ejecute el update-pipeline comando especificando el JSON archivo de canalización, similar al siguiente:

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

Este comando devuelve la estructura completa de la canalización editada.

En un terminal (Linux, macOS o Unix) o el símbolo del sistema (Windows), ejecute el comando start-pipeline-execution, especificando el nombre de la canalización, de un modo similar al siguiente:

aws codepipeline start-pipeline-execution --name MyFirstPipeline

Para obtener más información, consulte Iniciar la canalización manualmente.

Inicia sesión en el AWS Management Console con AccountA y abre la CodePipeline consola en http://console.aws.amazon.com/codesuite/codepipeline/home.

Se muestran los nombres de todas las canalizaciones asociadas a tu AWS cuenta.

En Name, elija el nombre de la canalización que acaba de editar. Esto abre una vista detallada de la canalización, que incluye el estado de cada acción en cada etapa de la canalización.

Vea el progreso en la canalización. Espere a que aparezca un mensaje de éxito sobre la acción que utiliza el recurso asociado a otra AWS cuenta.