Créez un pipeline CodePipeline qui utilise les ressources d'un autre AWS compte

Connectez-vous au AWS Management Console avec AccountA et ouvrez la AWS KMS console.

Sur la gauche, choisissez Customer managed keys (Clés gérées par le client).

Choisissez Create key. Dans Configure key (Configurer la clé), laissez l'option Symmetric (Symétrique) sélectionnée par défaut et choisissez Next (Suivant).

Dans Alias, entrez un alias à utiliser pour cette clé (par exemple, PipelineName-Key). Vous pouvez éventuellement fournir une description et des balises pour cette clé, puis choisissez Next.

Dans Définir les autorisations administratives clés, choisissez le ou les rôles que vous souhaitez voir jouer en tant qu'administrateurs pour cette clé, puis cliquez sur Suivant.

Dans Définir les autorisations d'utilisation des clés, sous Ce compte, sélectionnez le nom du rôle de service pour le pipeline (par exemple, CodePipeline _Service_Role). Sous Autres AWS comptes, choisissez Ajouter un autre AWS compte. Entrez l'identifiant du compte pour AccountB pour terminer leARN, puis choisissez Next.

Dans Review and edit key policy (Revoir et modifier la stratégie de clé), passez en revue la stratégie, puis choisissez Finish (Terminer).

Dans la liste des clés, choisissez l'alias de votre clé et copiez-le ARN (par exemple,arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE). Vous en aurez besoin lorsque vous modifierez votre pipeline et configurerez des stratégies.

Connectez-vous au AWS Management Console avec AccountA et ouvrez la console Amazon S3 à l'adresse https://console.aws.amazon.com/s3/.

Dans la liste des compartiments Amazon S3, choisissez le compartiment Amazon S3 dans lequel sont stockés les artefacts de vos pipelines. Ce compartiment est nommécodepipeline-region-1234567EXAMPLE, où region est la AWS région dans laquelle vous avez créé le pipeline et 1234567EXAMPLE est un nombre aléatoire à dix chiffres qui garantit que le nom du compartiment est unique (par exemple, codepipeline-us-east-2-1234567890).

Sur la page détaillée du compartiment Amazon S3, sélectionnez Properties.

Dans le volet des propriétés, développez Autorisations, puis choisissez Ajouter une stratégie de compartiment.

Saisissez la stratégie suivante dans la fenêtre Bucket Policy Editor. Cela permettra AccountB accès aux artefacts du pipeline, et donnera AccountB la possibilité d'ajouter des artefacts de sortie si une action, telle qu'une source personnalisée ou une action de génération, les crée.

Dans l'exemple suivant, ARN c'est pour AccountB est 012ID_ACCOUNT_B. ARNPour le compartiment Amazon S3, c'est codepipeline-us-east-2-1234567890. ARNsRemplacez-les par ARN ceux du compte auquel vous souhaitez autoriser l'ARNaccès et du compartiment Amazon S3 :

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

Choisissez Save, puis fermez l'éditeur de stratégie.

Choisissez Enregistrer pour enregistrer les autorisations pour le compartiment Amazon S3.

Connectez-vous au AWS Management Console avec AccountA et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans le panneau de navigation, choisissez Roles (Rôles).

Dans la liste des rôles, sous Nom du rôle, choisissez le nom du rôle de service pour CodePipeline.

Sous l'onglet Autorisations, sélectionnez Ajouter une politique en ligne.

Choisissez l'JSONonglet et entrez la politique suivante pour autoriser AccountB pour assumer le rôle. Dans l'exemple suivant, 012ID_ACCOUNT_B est le ARN pour AccountB:

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

Choisissez Review policy (Examiner une politique).

Dans le champ Name (Nom), saisissez un nom pour cette stratégie. Choisissez Create Policy (Créer une politique).

Connectez-vous au AWS Management Console avec AccountB et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans le panneau de navigation, choisissez Roles (Rôles).

Dans la liste des rôles, sous Nom du rôle, choisissez le nom du rôle de service utilisé comme rôle d'EC2instance Amazon pour l' CodeDeploy application. Le nom de ce rôle peut varier, et plusieurs rôles d'instance peuvent être utilisés par un groupe de déploiement. Pour plus d'informations, consultez Créer un profil d'IAMinstance pour vos EC2 instances Amazon.

Sous l'onglet Autorisations, sélectionnez Ajouter une politique en ligne.

Choisissez l'JSONonglet et entrez la politique suivante pour accorder l'accès au compartiment Amazon S3 utilisé par AccountA pour stocker des artefacts pour les pipelines (dans cet exemple, codepipeline-us-east-2-1234567890):

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

Choisissez Review policy (Examiner une politique).

Dans le champ Name (Nom), saisissez un nom pour cette stratégie. Choisissez Create Policy (Créer une politique).

Créez une deuxième politique indiquant AWS KMS où se arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE trouve ARN la clé gérée par le client créée dans AccountA et configuré pour autoriser AccountB pour l'utiliser :

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

Choisissez Review policy (Examiner une politique).

Dans le champ Name (Nom), saisissez un nom pour cette stratégie. Choisissez Create Policy (Créer une politique).

Connectez-vous au AWS Management Console avec AccountB et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam.

Dans le panneau de navigation, choisissez Roles (Rôles). Sélectionnez Create role (Créer un rôle).

Sous Sélectionner un type d'entité de confiance, choisissez Autre compte AWS . Sous Spécifier les comptes qui peuvent utiliser ce rôle, dans ID de AWS compte, entrez l'ID de compte du compte qui créera le pipeline dans CodePipeline (AccountA), puis choisissez Next : Permissions.

Sous Joindre des politiques d'autorisation, choisissez AmazonS3 ReadOnlyAccess, puis cliquez sur Suivant : Tags.

Choisissez Suivant : vérification. Tapez le nom de ce rôle dans Nom du rôle (par exemple, CrossAccount_Role). Vous pouvez donner à ce rôle le nom que vous voulez, à condition qu'il respecte les conventions de dénominationIAM. Pensez à donner au rôle un nom qui indique clairement son but. Choisissez Create Role (Créer le rôle).

Dans la liste des rôles, choisissez le rôle que vous venez de créer (par exemple, CrossAccount_Role) pour ouvrir la page Résumé de ce rôle.

Sous l'onglet Autorisations, sélectionnez Ajouter une politique en ligne.

Choisissez l'JSONonglet et entrez la politique suivante pour autoriser l'accès aux CodeDeploy ressources :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

Choisissez Review policy (Examiner une politique).

Dans le champ Name (Nom), saisissez un nom pour cette stratégie. Choisissez Create Policy (Créer une politique).

Sous l'onglet Autorisations, sélectionnez Ajouter une politique en ligne.

Choisissez l'JSONonglet et entrez la politique suivante pour permettre à ce rôle de récupérer les artefacts d'entrée et de placer les artefacts de sortie dans le compartiment Amazon S3 dans AccountA:

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

Choisissez Review policy (Examiner une politique).

Dans le champ Name (Nom), saisissez un nom pour cette stratégie. Choisissez Create Policy (Créer une politique).

Dans l'onglet Autorisations, recherchez AmazonS3 ReadOnlyAccess dans la liste des politiques sous Nom de la politique, puis cliquez sur l'icône de suppression (X) à côté de la politique. A l'invite, choisissez Detach.

Sélectionnez l'onglet Relation de confiance, puis choisissez Modifier la politique de confiance. Choisissez l'option Ajouter un principal dans la colonne de gauche. Pour le type principal, choisissez IAMRôles, puis indiquez ARN le rôle CodePipeline de service dans AccountA. arn:aws:iam::Account_A:rootSupprimez-le de la liste AWS des directeurs, puis choisissez Mettre à jour la politique.

Sur un terminal (Linux, macOS ou Unix) ou une invite de commande (Windows), exécutez la get-pipeline commande sur le pipeline auquel vous souhaitez ajouter des ressources. Copiez le résultat de la commande dans un JSON fichier. Par exemple, pour un pipeline nommé MyFirstPipeline, vous devez taper quelque chose de similaire à ce qui suit :

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

La sortie est envoyée au pipeline.json dans le fichier.

Ouvrez le JSON fichier dans n'importe quel éditeur de texte brut. Une fois "type": "S3" dans le magasin d'artefacts, ajoutez les informations KMSencryptionKey, l'identifiant et le type où codepipeline-us-east-2-1234567890 est le nom du compartiment Amazon S3 utilisé pour stocker les artefacts du pipeline et arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE celui ARN de la clé gérée par le client que vous venez de créer :

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

Ajoutez une action de déploiement dans une étape pour utiliser les CodeDeploy ressources associées à AccountB, y compris les roleArn valeurs du rôle multi-comptes que vous avez créé (CrossAccount_Role).

L'exemple suivant montre JSON que cela ajoute une action de déploiement nommée ExternalDeploy. Il utilise les CodeDeploy ressources créées dans AccountB dans une étape nommée Staging. Dans l'exemple suivant, le ARN pour AccountB est 012ID_ACCOUNT_B:

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

Vous devez supprimer les lignes metadata du fichier afin que la commande update-pipeline puisse l'utiliser. Supprimez la section de la structure du pipeline dans le JSON fichier ("metadata": { }les lignes et les "updated" champs "created""pipelineARN", et).

Par exemple, supprimez les lignes suivantes de la structure :

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

Enregistrez le fichier.

Pour appliquer vos modifications, exécutez la update-pipeline commande en spécifiant le JSON fichier de pipeline, comme suit :

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

Cette commande affiche toute la structure du pipeline mise à jour.

Sur un terminal (Linux, macOS ou Unix) ou une invite de commande (Windows), exécutez la start-pipeline-execution commande en spécifiant le nom du pipeline, comme suit :

aws codepipeline start-pipeline-execution --name MyFirstPipeline

Pour de plus amples informations, veuillez consulter Lancement manuel d'un pipeline.

Connectez-vous au AWS Management Console avec AccountA et ouvrez la CodePipeline console à l'adresse http://console.aws.amazon.com/codesuite/codepipeline/home.

Les noms de tous les pipelines associés à votre AWS compte sont affichés.

Dans Name, choisissez le nom du pipeline que vous venez de modifier. Une vue détaillée du pipeline s'affiche alors, laquelle indique notamment l'état de chaque action, dans chaque étape du pipeline.

Observez la progression à travers le pipeline. Attendez un message de réussite concernant l'action qui utilise la ressource associée à un autre AWS compte.