Crear una canalización en CodePipeline que use recursos de otra cuenta de AWS

Inicie sesión en la AWS Management Console con AccountA y abra la consola de AWS KMS.

A la izquierda, seleccione Claves administradas por el cliente.

Elija Create key. En la Configurar clave, deje el valor predeterminado Simétrico seleccionado y elija Siguiente.

En Alias, escriba el alias que desea usar con esta clave (por ejemplo, Nombre-ClaveDeCanalización). Opcionalmente, proporcione una descripción y las etiquetas de esta clave; después, elija Paso siguiente.

En Definir permisos de administración de claves, elija su usuario de y cualesquiera otros usuarios o grupos que desee que actúen como administradores de esta clave y, a continuación, elija Siguiente.

En Definir permisos de uso de clave, bajo Esta cuenta, seleccione el nombre del rol de servicio para la canalización (por ejemplo, CodePipeline_Service_Role). En Otras cuentas de AWS), elija Añadir otra cuenta de AWS. Escriba el ID de AccountB para completar el ARN y elija Siguiente.

En Revisar y editar política de claves, revise la política y, después, elija Terminar.

En la lista de claves, elija el alias de la clave y copie su ARN (por ejemplo, arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE). Lo necesitará cuando edite la canalización y configure las políticas.

Inicie sesión en la AWS Management Console con AccountA y abra la consola de Amazon S3 en https://console.aws.amazon.com/s3/.

En la lista de buckets de Amazon S3, elija el bucket de Amazon S3 en el que se almacenan los artefactos para la canalización. Este bucket se denomina codepipeline-region-1234567EXAMPLE, donde region es la región de AWS en la que ha creado la canalización y 1234567EXAMPLE es un número aleatorio de diez dígitos que garantiza que el nombre del bucket es único (por ejemplo, codepipeline-us-east-2-1234567890).

En la página de detalles del bucket de Amazon S3, elija Propiedades.

En el panel de propiedades, expanda Permisos y después elija Añadir política de bucket.

En la ventana Editor de políticas e bucket, escriba la siguiente política. Esto permitirá el acceso de AccountB a los artefactos de canalización y brindará a AccountB la posibilidad de añadir artefactos de salida si una acción, como una fuente personalizada o acción de compilación, los crea.

En el siguiente ejemplo, el ARN de Cuenta B es 012ID_ACCOUNT_B. El ARN del bucket de Amazon S3 es codepipeline-us-east-2-1234567890. Sustituya estos ARN con el ARN de la cuenta a la que desea permitir el acceso y el ARN del bucket de Amazon S3:

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

Elija Guardar y, a continuación, cierre el editor de políticas.

Elija Guardar para guardar los permisos para el bucket de Amazon S3.

Inicie sesión en la AWS Management Console y abra con AccountA y abra la consola de IAM en https://console.aws.amazon.com/iam/.

Seleccione Roles en el panel de navegación.

En la lista de roles, bajo Nombre de ro), elija el nombre del rol de servicio para CodePipeline.

En la pestaña Permisos, elija Añadir política en línea.

Seleccione la pestaña JSON e introduzca la siguiente política para permitir que AccountB asuma el rol. En el siguiente ejemplo, 012ID_ACCOUNT_B es el ARN de AccountB:

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Inicie sesión en la AWS Management Console con AccountB y abra la consola de IAM en https://console.aws.amazon.com/iam/.

Seleccione Roles en el panel de navegación.

En la lista de roles, en Nombre de rol, elija el nombre del rol de servicio usada como función de instancia de Amazon EC2 para la aplicación de CodeDeploy. El nombre de este rol puede variar, y un grupo de implementaciones puede usar más de un rol de instancia. Para obtener más información, consulte Crear un perfil de instancia de IAM para sus instancias de Amazon EC2.

En la pestaña Permisos, elija Añadir política en línea.

Seleccione la pestaña JSON e introduzca la siguiente política para conceder acceso al bucket de Amazon S3 que AccountA usa para almacenar artefactos para canalizaciones (en este ejemplo, codepipeline-us-east-2-1234567890):

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Cree una segunda política para AWS KMS, donde arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE es el ARN de la clave administrada por el cliente que se ha creado en AccountA y que está configurada para permitir que AccountB la use:

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Inicie sesión en la AWS Management Console con AccountB y abra la consola de IAM en https://console.aws.amazon.com/iam.

Seleccione Roles en el panel de navegación. Elija Crear rol.

En Seleccione el tipo de entidad de confianza, elija Otra cuenta de AWS). En Especificar las cuentas que pueden usar este rol, en ID de cuenta, introduzca el ID de cuenta de AWS de la cuenta que creará la canalización en CodePipeline (AccountA) y, a continuación, seleccione Siguiente: permisos.

En la página Asociar políticas de permisos, elija AmazonS3ReadOnlyAccess y Siguiente: etiquetas.

Elija Siguiente: Revisar. Escriba un nombre para este rol en Nombre de rol (por ejemplo, CrossAccount_Role). Puede dar a este rol el nombre que desee, siempre y cuando siga las convenciones de nomenclatura de IAM. Considere dar al rol un nombre que indique claramente su finalidad. Elija Crear rol.

En la lista de roles, elija el rol que acaba de crear (por ejemplo, CrossAccount_Role) para abrir la página Resumen de ese rol.

En la pestaña Permisos, elija Añadir política en línea.

Seleccione la pestaña JSON e introduzca la siguiente política para permitir el acceso a los recursos de CodeDeploy:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

En la pestaña Permisos, elija Añadir política en línea.

Elija la pestaña JSON, e introduzca la siguiente política para que este rol recupere artefactos de entrada e introduzca los artefactos de salida en el bucket de Amazon S3 en AccountA:

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

Elija Revisar política.

En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

En la pestaña Permisos, busque Amazons3ReadOnlyAccess en la lista de políticas en Nombre de política y seleccione el icono de eliminación (X) situado junto a la política. Cuando se le pregunte, elija Separar.

Seleccione la pestaña Relación de confianza y, a continuación, Editar la política de confianza. Seleccione la opción Agregar una entidad principal en la columna de la izquierda. En Tipo de entidad principal, elija Roles de IAM y, a continuación, proporcione el ARN para el rol de servicio de CodePipeline de AccountA. Elimine arn:aws:iam::Account_A:root de la lista de Entidades principales de AWS y, a continuación, seleccione Actualizar la política.

En un terminal (Linux, macOS o Unix) o el símbolo del sistema (Windows), ejecute el comando get-pipeline para la canalización a la que desea añadir recursos. Copie el resultado del comando a un archivo JSON. Por ejemplo, para una canalización denominada MyFirstPipeline, debería escribir un texto similar al siguiente:

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

El resultado se envía al archivo pipeline.json.

Abra el archivo JSON en cualquier editor de texto sin formato. Después de "type": "S3" en el almacén de artefactos, añada la clave de cifrado de KMS, el ID y el tipo de la información, donde codepipeline-us-east-2-1234567890 es el nombre del bucket de Amazon S3 usado para almacenar los artefactos de la canalización y arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE es el ARN de la clave administrada por el cliente que acaba de crear:

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

Añada una acción de implementación en una etapa para usar los recursos de asociados a AccountB, incluidos los valores de roleArn de la función entre cuentas que ha creado (CrossAccount_Role).

En el siguiente ejemplo se muestra JSON que añade una acción de implementación denominada ExternalDeploy. Usa los recursos de CodeDeploy creados en AccountB en una etapa denominada Ensayo. En el siguiente ejemplo, el ARN de AccountB es 012ID_ACCOUNT_B:

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

Debe eliminar las líneas metadata del archivo para que el comando update-pipeline pueda utilizarlo. Quite la sección de la estructura de canalizaciones del archivo JSON (las líneas "metadata": { } y los campos "created", "pipelineARN" y "updated" que contenga).

Por ejemplo, quite las siguientes líneas de la estructura:

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

Guarde el archivo.

Para aplicar los cambios, ejecute el comando update-pipeline, especificando el archivo JSON de la canalización, de forma similar a como se muestra a continuación:

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

Este comando devuelve la estructura completa de la canalización editada.

En un terminal (Linux, macOS o Unix) o el símbolo del sistema (Windows), ejecute el comando start-pipeline-execution, especificando el nombre de la canalización, de un modo similar al siguiente:

aws codepipeline start-pipeline-execution --name MyFirstPipeline

Para obtener más información, consulte Iniciar la canalización manualmente.

Inicie sesión en la AWS Management Console con AccountA y abra la consola de CodePipeline en http://console.aws.amazon.com/codesuite/codepipeline/home.

Se muestran los nombres de todas las canalizaciones asociadas con su cuenta de AWS.

En Name, elija el nombre de la canalización que acaba de editar. Esto abre una vista detallada de la canalización, que incluye el estado de cada acción en cada etapa de la canalización.

Vea el progreso en la canalización. Espere a que aparezca un mensaje de confirmación para la acción que usa el recurso asociado con otra cuenta de AWS.