View a markdown version of this page

Cree una canalización en la CodePipeline que se utilicen los recursos de otra AWS inscrita - AWS CodePipeline
Requisito previo: crear un AWS KMS clave de cifradoPaso 1: Configurar roles y políticas de cuentaPaso 2: Editar la canalización

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cree una canalización en la CodePipeline que se utilicen los recursos de otra AWS inscrita

Puede ser conveniente crear una canalización que use recursos creados o administrados por otra cuenta de AWS . Por ejemplo, podría ser conveniente usar una cuenta para una canalización y otra para los recursos de CodeDeploy .

nota

Al crear una canalización con acciones de varias cuentas, debe configurar sus acciones para que puedan obtener acceso a los artefactos en las limitaciones de las canalizaciones entre cuentas. Las siguientes limitaciones se aplican a las acciones entre cuentas:

  • En general, una acción solo puede consumir un artefacto si:

    • La acción está en la misma cuenta que la cuenta de canalización, o

    • El artefacto se creó en la cuenta de la canalización para una acción en otra cuenta, o

    • El artefacto se produjo por una acción anterior en la misma cuenta que la acción

    En otras palabras, no puede pasar un artefacto de una cuenta a otra si ninguna de las dos cuentas es la de canalización.

  • Cross-account las acciones no son compatibles con los siguientes tipos de acción:

    • Acciones de compilación Jenkins

En este ejemplo, debes crear una clave AWS Key Management Service (AWS KMS) para usarla, agregar la clave a la canalización y configurar las políticas y funciones de la cuenta para permitir el acceso entre cuentas. Para una clave de AWS KMS, puedes usar el ID de la clave, el ARN de la clave o el ARN del alias.

nota

Los alias se reconocen únicamente en la cuenta que ha creado la clave de KMS. Para las acciones entre cuentas, solo puedes usar el ID de la clave o el ARN de la clave para identificar la clave. Cross-account las acciones implican usar el rol de la otra cuenta (AccountB), por lo que al especificar el ID de la clave se utilizará la clave de la otra cuenta (AccountB).

En este tutorial y sus ejemplos, AccountA se muestra la cuenta que se usó originalmente para crear la canalización. Tiene acceso al bucket de Amazon S3 que se utiliza para almacenar los artefactos de la canalización y al rol de servicio que utiliza. AWS CodePipelineAccountBes la cuenta utilizada originalmente para crear la CodeDeploy aplicación, el grupo de implementación y el rol de servicio utilizados por CodeDeploy.

AccountAPara editar una canalización para usar la CodeDeploy aplicación creada porAccountB, AccountA debes:

  • Solicita el ARN o el ID de la cuenta de AccountB (en este tutorial, el AccountB ID es012ID_ACCOUNT_B).

  • Cree o utilice una clave gestionada por el AWS KMS cliente en la región para la canalización y conceda permisos para usar esa clave para el rol de servicio (CodePipeline_Service_Role) y. AccountB

  • Cree una política de bucket de Amazon S3 que conceda AccountB acceso al bucket de Amazon S3 (por ejemplo,codepipeline-us-east-2-1234567890).

  • Cree una política que permita AccountA asumir un rol configurado por AccountB y adjunte esa política al rol de servicio (CodePipeline_Service_Role).

  • Edite la canalización para usar la AWS KMS clave gestionada por el cliente en lugar de la clave predeterminada.

AccountBPara permitir el acceso a sus recursos a una canalización creada enAccountA, AccountB debe:

  • Solicita el ARN o el ID de la cuenta de AccountA (en este tutorial, el AccountA ID es012ID_ACCOUNT_A).

  • Cree una política aplicada al rol de instancia de Amazon EC2 configurado para el CodeDeploy que permita el acceso al bucket de Amazon S3 (). codepipeline-us-east-2-1234567890

  • Cree una política aplicada al rol de instancia de Amazon EC2 configurado para el CodeDeploy que permita el acceso a la clave gestionada por el AWS KMS cliente que se utiliza para cifrar los artefactos de la canalización. AccountA

  • Configure y asocie un rol de IAM (CrossAccount_Role) con una política de relaciones de confianza que permita al rol de CodePipeline servicio AccountA asumir el rol.

  • Cree una política que permita el acceso a los recursos de implementación que requiere la canalización y adjúntela aCrossAccount_Role.

  • Cree una política que permita el acceso al bucket de Amazon S3 (codepipeline-us-east-2-1234567890) y adjúntela aCrossAccount_Role.

Requisito previo: crear un AWS KMS clave de cifrado

Customer-managed las claves son específicas de una región, al igual que todas AWS KMS las claves. Debes crear tu AWS KMS clave gestionada por el cliente en la misma región en la que se creó la canalización (por ejemplo,us-east-2).

Para crear una clave gestionada por el cliente en AWS KMS

  1. Inicia sesión en Consola de administración de AWS con AccountA y abre la AWS KMS consola.

  2. A la izquierda, seleccione Claves administradas por el cliente.

  3. Elija Crear clave. En la Configurar clave, deje el valor predeterminado Simétrico seleccionado y elija Siguiente.

  4. En Alias, introduce el alias que quieras usar para esta clave (por ejemplo,PipelineName-Key). Opcionalmente, proporcione una descripción y las etiquetas de esta clave; después, elija Paso siguiente.

  5. En Definir permisos de administración de claves, elija su usuario de y cualesquiera otros usuarios o grupos que desee que actúen como administradores de esta clave y, a continuación, elija Siguiente.

  6. En Definir los permisos de uso de claves, en Esta cuenta, seleccione el nombre del rol de servicio para la canalización (por ejemplo, CodePipeline _Service_Role). En Otras AWS cuentas, elige Agregar otra AWS cuenta. Introduce el identificador de la cuenta AccountB para completar el ARN y, a continuación, selecciona Siguiente.

  7. En Revisar y editar política de claves, revise la política y, después, elija Terminar.

  8. En la lista de claves, elija el alias de la clave y copie su ARN (por ejemplo, arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE). Lo necesitará cuando edite la canalización y configure las políticas.

Paso 1: Configurar roles y políticas de cuenta

Después de crear la AWS KMS clave, debe crear y adjuntar políticas que permitan el acceso multicuenta. Esto requiere acciones tanto por parte de comoAccountA. AccountB

Configure las políticas y los roles en la cuenta que creará la canalización (Cuenta A)

Para crear una canalización que utilice CodeDeploy los recursos asociados a otra AWS cuenta, AccountA debe configurar políticas tanto para el bucket de Amazon S3 que se utiliza para almacenar artefactos como para el rol de servicio para CodePipeline.

Para crear una política para el bucket de Amazon S3 que concede acceso a AccountB (consola)

  1. Inicie sesión en la consola Consola de administración de AWS de Amazon S3 AccountA y ábrala en https://console.aws.amazon.com/s3/.

  2. En la lista de buckets de Amazon S3, elija el bucket de Amazon S3 en el que se almacenan los artefactos para la canalización. Este bucket tiene un nombrecodepipeline-region-1234567EXAMPLE, donde region corresponde a la AWS región en la que creaste la canalización y 1234567EXAMPLE es un número aleatorio de diez dígitos que garantiza que el nombre del bucket sea único (por ejemplo,codepipeline-us-east-2-1234567890).

  3. En la página de detalles del bucket de Amazon S3, elija Propiedades.

  4. En el panel de propiedades, expanda Permisos y después elija Añadir política de bucket.

    nota

    Si ya hay una política asociada al bucket de Amazon S3, elija Editar política de bucket. A continuación, puede añadir las instrucciones del siguiente ejemplo a la política. Para añadir una nueva política, elige el enlace y sigue las instrucciones del generador de AWS políticas. Para obtener más información, consulte Información general de las políticas de IAM.

  5. En la ventana Bucket Policy Editor, cree una política que permita AccountB acceder a los artefactos de canalización y que permita añadir artefactos de salida si una acción, como una acción de creación o fuente personalizada, los crea. AccountB

  6. Elija Guardar y, a continuación, cierre el editor de políticas.

  7. Elija Guardar para guardar los permisos para el bucket de Amazon S3.

Para crear una política para el rol de servicio de CodePipeline (consola)

  1. Inicia sesión en Consola de administración de AWS con AccountA y abre la consola de IAM en https://console.aws.amazon.com/iam/.

  2. Seleccione Roles en el panel de navegación.

  3. En la lista de funciones, bajo Role Name (Nombre de función), elija el nombre de la función de servicio para CodePipeline.

  4. En la pestaña Permisos, elija Añadir política en línea.

  5. Elige la pestaña JSON e introduce la siguiente política para poder AccountB asumir el rol. En el siguiente ejemplo, 012ID_ACCOUNT_B es el ARN deAccountB:

    JSON
    {
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": [
            "arn:aws:iam::111122223333:role/*"
        ]
    }
}

  6. Elija Revisar política.

  7. En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Configure las políticas y los roles en la cuenta propietaria del AWS recurso (cuenta B)

Al crear una aplicación, una implementación y un grupo de implementaciones en CodeDeploy, también crea un rol de instancia de Amazon EC2. (Este rol se crea automáticamente cuando se usa el asistente para ejecutar la implementación, pero también puede crearlo manualmente). Para que una canalización creada en AccountA utilice CodeDeploy los recursos creados enAccountB, debe:

  • Configurar una política para el rol de instancia que le permita el acceso al bucket de Amazon S3 donde se almacenan los artefactos de la canalización.

  • Cree un segundo rol si AccountB está configurado para el acceso entre cuentas.

    Este segundo rol no solo debe tener acceso al bucket de Amazon S3AccountA, sino que también debe contener una política que permita el acceso a los CodeDeploy recursos y una política de relación de confianza que permita AccountA al rol de CodePipeline servicio asumir el rol.

    nota

    Estas políticas son específicas para configurar CodeDeploy los recursos que se utilizarán en una canalización creada con una AWS cuenta diferente. Otros AWS recursos requerirán políticas específicas para sus necesidades de recursos.

Para crear una política para el rol de instancia de Amazon EC2 configurado para CodeDeploy (consola)

  1. Inicie sesión en Consola de administración de AWS con AccountB y abra la consola de IAM en. https://console.aws.amazon.com/iam/

  2. Seleccione Roles en el panel de navegación.

  3. En la lista de funciones, en Nombre de función, elija el nombre de la función de servicio utilizada como función de instancia de Amazon EC2 para la CodeDeploy aplicación. El nombre de este rol puede variar, y un grupo de implementaciones puede usar más de un rol de instancia. Para obtener más información, consulte Crear un perfil de instancia de IAM para sus instancias de Amazon EC2.

  4. En la pestaña Permisos, elija Añadir política en línea.

  5. Seleccione la pestaña JSON e introduzca la siguiente política para conceder el acceso al bucket de Amazon S3 que se utiliza AccountA para almacenar artefactos para las canalizaciones (en este ejemplo,codepipeline-us-east-2-1234567890):

    JSON
    {
   "Version":"2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::amzn-s3-demo-bucket/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::amzn-s3-demo-bucket"
       ]
     }
   ]
 }

  6. Elija Revisar política.

  7. En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

  8. Cree una segunda política que indique AWS KMS dónde arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE está el ARN de la clave gestionada por el cliente creada AccountA y configurada AccountB para permitir su uso:

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:GenerateDataKey*",
                "kms:Encrypt",
                "kms:ReEncrypt*",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/2222222-3333333-4444-556677EXAMPLE"
            ]
        }
    ]
}
    importante

    Debe usar el identificador de cuenta de AccountA esta política como parte del ARN del recurso para la AWS KMS clave, tal y como se muestra aquí, o la política no funcionará.

  9. Elija Revisar política.

  10. En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

Ahora cree un rol de IAM para usarlo en el acceso entre cuentas y configúrelo para que el rol de CodePipeline servicio AccountA pueda asumir el rol. Este rol debe contener políticas que permitan el acceso a CodeDeploy los recursos y al bucket de Amazon S3 en el que se almacenan los artefactos. AccountA

Para configurar el rol de acceso entre cuentas en IAM

  1. Inicie sesión en Consola de administración de AWS con AccountB y abra la consola de IAM en https://console.aws.amazon.com/iam.

  2. Seleccione Roles en el panel de navegación. Elija Create role (Crear rol).

  3. En Seleccione el tipo de entidad de confianza, elija Otra cuenta de AWS ). En Especificar las cuentas que pueden usar este rol, en ID de cuenta, introduce el ID de la AWS cuenta que va a crear la canalización en CodePipeline (AccountA) y, a continuación, selecciona Siguiente: Permisos.

    importante

    Este paso crea la política de relación de confianza entre AccountB yAccountA. Sin embargo, esto otorga acceso de nivel raíz a la cuenta y CodePipeline recomienda reducirlo al rol de CodePipeline servicio enAccountA. Siga el paso 16 para restringir los permisos.

  4. En Adjuntar políticas de permisos AmazonS3ReadOnlyAccess, elija Siguiente: Etiquetas y, a continuación, elija Siguiente.

    nota

    Esta no es la política que usará. Debe elegir una política para completar el asistente.

  5. Elija Siguiente: Revisar. Escriba un nombre para este rol en Nombre del rol (por ejemplo,CrossAccount_Role). Puede dar a este rol el nombre que desee, siempre y cuando siga las convenciones de nomenclatura de IAM. Considere dar al rol un nombre que indique claramente su finalidad. Seleccione Crear rol.

  6. En la lista de funciones, elija la función que acaba de crear (por ejemplo,CrossAccount_Role) para abrir la página de resumen de esa función.

  7. En la pestaña Permisos, elija Añadir política en línea.

  8. Selecciona la pestaña JSON e introduce la siguiente política para permitir el acceso a CodeDeploy los recursos:

    JSON
    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

  9. Elija Revisar política.

  10. En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

  11. En la pestaña Permisos, elija Añadir política en línea.

  12. Seleccione la pestaña JSON e introduzca la siguiente política para permitir que este rol recupere los artefactos de entrada del bucket de Amazon S3 y coloque los artefactos de salida en el bucket de Amazon S3AccountA:

    JSON
    {
   "Version":"2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::amzn-s3-demo-bucket/*"
       ]
     }
   ]
}

  13. Elija Revisar política.

  14. En Name (Nombre), introduzca un nombre para esta política. Elija Crear política.

  15. En la pestaña Permisos, busque el nombre de la política AmazonS3ReadOnlyAccess en la lista de políticas y elija el icono de eliminación (X) situado junto a la política. Cuando se le pregunte, elija Separar.

  16. Seleccione la pestaña Relación de confianza y, a continuación, Editar la política de confianza. Seleccione la opción Agregar una entidad principal en la columna de la izquierda. Para el tipo de principal, seleccione Funciones de IAM y, a continuación, introduzca el ARN del rol de CodePipeline servicio en. AccountA Elimine arn:aws:iam::Account_A:root de la lista de Entidades principales de AWS y, a continuación, seleccione Actualizar la política.

Paso 2: Editar la canalización

No puedes usar la CodePipeline consola para crear o editar una canalización que utilice los recursos asociados a otra AWS cuenta. Sin embargo, puede usar la consola para crear la estructura general de la canalización y, a continuación, usarla AWS CLI para editar la canalización y agregar esos recursos. Como alternativa, puede usar la estructura de una canalización existente y agregarle los recursos manualmente.

Para agregar los recursos asociados a otro AWS cuenta (AWS CLI)

  1. En un terminal (Linux, macOS o Unix) o el símbolo del sistema (Windows), ejecute el comando get-pipeline para la canalización a la que desea añadir recursos. Copie el resultado del comando a un archivo JSON. Por ejemplo, para una canalización denominada MyFirstPipeline, debería escribir un texto similar al siguiente:

    aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

    El resultado se envía al archivo pipeline.json.

  2. Abra el archivo JSON en cualquier editor de texto sin formato. Una vez "type": "S3" en el almacén de artefactos, añada la clave de cifrado, el ID y la información de tipo de KMS, donde codepipeline-us-east-2-1234567890 figure el nombre del bucket de Amazon S3 utilizado para almacenar los artefactos para la canalización y el ARN de la clave arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE gestionada por el cliente que acaba de crear:

    {
  "artifactStore": {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

  3. Agregue una acción de implementación en una etapa para usar los CodeDeploy recursos asociadosAccountB, incluidos los roleArn valores del rol multicuenta que creó (). CrossAccount_Role

    El siguiente ejemplo muestra un JSON que agrega una acción de implementación denominadaExternalDeploy. Utiliza los CodeDeploy recursos creados AccountB en una etapa denominadaStaging. En el siguiente ejemplo, el ARN de AccountB es012ID_ACCOUNT_B:

    ,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }
    nota

    Este no es el JSON para toda la canalización, sino solo la estructura de la acción en una etapa.

  4. Debe eliminar las líneas metadata del archivo para que el comando update-pipeline pueda utilizarlo. Quite la sección de la estructura de canalizaciones del archivo JSON (las líneas "metadata": { } y los campos "created", "pipelineARN" y "updated" que contenga).

    Por ejemplo, quite las siguientes líneas de la estructura: 

    "metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

    Guarde el archivo.

  5. Para aplicar los cambios, ejecute el comando update-pipeline, especificando el archivo JSON de la canalización, de forma similar a como se muestra a continuación:

    importante

    Asegúrese de incluir file:// antes del nombre de archivo. Es obligatorio en este comando.

    aws codepipeline update-pipeline --cli-input-json file://pipeline.json

    Este comando devuelve la estructura completa de la canalización editada.

Para probar la canalización que usa los recursos asociados a otra AWS inscrita

  1. En un terminal (Linux, macOS o Unix) o el símbolo del sistema (Windows), ejecute el comando start-pipeline-execution, especificando el nombre de la canalización, de un modo similar al siguiente:

    aws codepipeline start-pipeline-execution --name MyFirstPipeline

    Para obtener más información, consulte Iniciar la canalización manualmente.

  2. Inicie sesión en Consola de administración de AWS con AccountA y abra la CodePipeline consola en http://console.aws.amazon.com/codesuite/codepipeline/home.

    Se muestran los nombres de todas las canalizaciones asociadas a su AWS cuenta.

  3. En Name, elija el nombre de la canalización que acaba de editar. Esto abre una vista detallada de la canalización, que incluye el estado de cada acción en cada etapa de la canalización.

  4. Vea el progreso en la canalización. Espere a que aparezca un mensaje de éxito sobre la acción que utiliza el recurso asociado a otra AWS cuenta.

    nota

    Recibirás un error si intentas ver los detalles de la acción mientras has iniciado sesión conAccountA. Cierra sesión y, a continuación, inicia sesión con AccountB para ver los detalles de la implementación en CodeDeploy.