Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Contoh kebijakan berbasis identitas untuk AWS CodeArtifact

Secara default, pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi CodeArtifact sumber daya. Mereka juga tidak dapat melakukan tugas dengan menggunakan AWS Management Console, AWS Command Line Interface (AWS CLI), atau AWS API. Untuk memberikan izin kepada pengguna untuk melakukan tindakan pada sumber daya yang mereka butuhkan, IAM administrator dapat membuat IAM kebijakan. Administrator kemudian dapat menambahkan IAM kebijakan ke peran, dan pengguna dapat mengambil peran.

Untuk mempelajari cara membuat kebijakan IAM berbasis identitas menggunakan contoh dokumen kebijakan ini, lihat Membuat JSON IAM kebijakan di Panduan Pengguna. IAM

Untuk detail tentang tindakan dan jenis sumber daya yang ditentukan oleh CodeArtifact, termasuk format ARNs untuk setiap jenis sumber daya, lihat Kunci tindakan, sumber daya, dan kondisi AWS CodeArtifact dalam Referensi Otorisasi Layanan.

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus CodeArtifact sumber daya di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik diIAM, lihat Praktik terbaik keamanan IAM di Panduan IAM Pengguna.

Menggunakan konsol CodeArtifact

Untuk mengakses AWS CodeArtifact konsol, Anda harus memiliki set izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang CodeArtifact sumber daya di Anda Akun AWS. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana mestinya untuk entitas (pengguna atau peran) dengan kebijakan tersebut.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau. AWS API Sebagai gantinya, izinkan akses hanya ke tindakan yang cocok dengan API operasi yang mereka coba lakukan.

Untuk memastikan bahwa pengguna dan peran masih dapat menggunakan CodeArtifact konsol, lampirkan juga kebijakan AWSCodeArtifactAdminAccess atau AWSCodeArtifactReadOnlyAccess AWS terkelola ke entitas. Untuk informasi selengkapnya, lihat Menambahkan izin ke pengguna di Panduan IAM Pengguna.

AWS Kebijakan terkelola (Sudah ditentukan sebelumnya) untuk AWS CodeArtifact

AWS mengatasi banyak kasus penggunaan umum dengan menyediakan IAM kebijakan mandiri yang dibuat dan dikelola oleh AWS. Kebijakan AWS terkelola ini memberikan izin yang diperlukan untuk kasus penggunaan umum sehingga Anda dapat menghindari keharusan menyelidiki izin apa yang diperlukan. Untuk informasi selengkapnya, lihat Kebijakan AWS Terkelola di Panduan IAM Pengguna.

Kebijakan AWS terkelola berikut, yang dapat Anda lampirkan ke pengguna di akun Anda, khusus untuk AWS CodeArtifact.

Untuk membuat dan mengelola peran CodeArtifact layanan, Anda juga harus melampirkan kebijakan AWS terkelola bernamaIAMFullAccess.

Anda juga dapat membuat IAM kebijakan kustom sendiri untuk mengizinkan izin CodeArtifact tindakan dan sumber daya. Anda dapat melampirkan kebijakan khusus ini ke IAM pengguna atau grup yang memerlukan izin tersebut.

Memungkinkan pengguna untuk melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda membuat kebijakan yang memungkinkan IAM pengguna melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Memungkinkan pengguna mendapatkan informasi tentang repositori dan domain

Kebijakan berikut memungkinkan IAM pengguna atau peran untuk membuat daftar dan mendeskripsikan semua jenis CodeArtifact sumber daya, termasuk domain, repositori, paket, dan aset. Kebijakan ini juga mencakup codeArtifact:ReadFromRepository izin, yang memungkinkan prinsipal untuk mengambil paket dari CodeArtifact repositori. Kebijakan ini tidak mengizinkan membuat domain atau repositori baru dan tidak mengizinkan publikasi paket baru.

sts:GetServiceBearerTokenIzin codeartifact:GetAuthorizationToken dan diperlukan untuk memanggil file. GetAuthorizationToken API

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*",
            "codeartifact:Get*",
            "codeartifact:Read*"
         ],
         "Resource": "*"      
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      }
   ]
}

Memungkinkan pengguna mendapatkan informasi tentang domain tertentu

Berikut ini adalah contoh kebijakan izin yang memungkinkan pengguna mencantumkan domain hanya di wilayah us-east-2 untuk akun 123456789012 untuk semua domain yang dimulai dengan nama my.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": "codeartifact:ListDomains",
         "Resource": "arn:aws:codeartifact:us-east-2:123456789012:domain/my*"      
      }
   ]
}

Memungkinkan pengguna mendapatkan informasi tentang repositori tertentu

Berikut ini adalah contoh kebijakan izin yang memungkinkan pengguna mendapatkan informasi tentang repositori yang diakhiri dengan test, termasuk informasi tentang paket di dalamnya. Pengguna tidak akan dapat memublikasikan, membuat, atau menghapus sumber daya.

sts:GetServiceBearerTokenIzin codeartifact:GetAuthorizationToken dan diperlukan untuk memanggil file. GetAuthorizationToken API

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*",
            "codeartifact:Get*",
            "codeartifact:Read*"
         ],
         "Resource": "arn:aws:codeartifact:*:*:repository/*/*test"      
      },
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*"
         ],
         "Resource": "arn:aws:codeartifact:*:*:package/*/*test/*/*/*"   
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      },
      {
         "Effect": "Allow",
         "Action": "codeartifact:GetAuthorizationToken",
         "Resource": "*"
      }
   ]
}

Membatasi durasi token otorisasi

Pengguna harus mengautentikasi CodeArtifact dengan token otorisasi untuk menerbitkan atau menggunakan versi paket. Token otorisasi hanya berlaku selama masa pakai yang dikonfigurasi. Token memiliki masa pakai default 12 jam. Untuk informasi selengkapnya tentang token otorisasi, lihat AWS CodeArtifact otentikasi dan token.

Saat mengambil token, pengguna dapat mengonfigurasi masa pakai token. Nilai yang valid untuk masa pakai token otorisasi adalah 0, dan angka berapa pun antara 900 (15 menit) dan 43200 (12 jam). Nilai 0 akan membuat token dengan durasi yang sama dengan kredensial sementara peran pengguna.

Administrator dapat membatasi nilai yang valid untuk masa pakai otorisasi token dengan kunci syarat sts:DurationSeconds dalam kebijakan izin yang dilampirkan ke pengguna atau grup. Jika pengguna mencoba membuat token otorisasi dengan masa pakai di luar nilai yang valid, pembuatan token akan gagal.

Contoh kebijakan berikut membatasi kemungkinan durasi token otorisasi yang dibuat oleh CodeArtifact pengguna.

Contoh kebijakan: Batasi masa pakai token hingga tepat 12 jam (43200 detik)

Dengan kebijakan ini, pengguna hanya akan dapat membuat token otorisasi dengan masa pakai 12 jam.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "codeartifact:*",
            "Resource": "*"
        },
        {
            "Sid": "sts",
            "Effect": "Allow",
            "Action": "sts:GetServiceBearerToken",
            "Resource": "*",
            "Condition": {
                "NumericEquals": {
                    "sts:DurationSeconds": 43200
                },
                "StringEquals": {
                    "sts:AWSServiceName": "codeartifact.amazonaws.com"
                }
            }
        }
    ]
}
           

Contoh kebijakan: Batasi masa pakai token antara 15 menit dan 1 jam, atau sama dengan periode kredensi sementara pengguna

Dengan kebijakan ini, pengguna akan dapat membuat token yang berlaku antara 15 menit dan 1 jam. Pengguna juga akan dapat membuat token yang berlaku selama durasi kredensial sementara peran mereka dengan menentukan 0 untuk --durationSeconds.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "codeartifact:*",
            "Resource": "*"
        },
        {
            "Sid": "sts",
            "Effect": "Allow",
            "Action": "sts:GetServiceBearerToken",
            "Resource": "*",
            "Condition": {
                "NumericLessThanEquals": {
                    "sts:DurationSeconds": 3600
                },
                "StringEquals": {
                    "sts:AWSServiceName": "codeartifact.amazonaws.com"
                }
            }
        }
    ]
}