Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Bagaimana AWS CodeDeploy bekerja dengan IAM

Sebelum Anda menggunakan IAM untuk mengelola akses CodeDeploy, Anda harus memahami IAM fitur mana yang tersedia untuk digunakan CodeDeploy. Untuk informasi selengkapnya, lihat AWS layanan yang berfungsi IAM di Panduan IAM Pengguna.

Kebijakan berbasis identitas CodeDeploy

Dengan kebijakan IAM berbasis identitas, Anda dapat menentukan tindakan dan sumber daya yang diizinkan atau ditolak serta kondisi di mana tindakan diizinkan atau ditolak. CodeDeploy mendukung tindakan, sumber daya, dan kunci kondisi. Untuk informasi tentang elemen yang Anda gunakan dalam JSON kebijakan, lihat referensi elemen IAM JSON kebijakan di Panduan IAM Pengguna.

Tindakan

Administrator dapat menggunakan AWS JSON kebijakan untuk menentukan siapa yang memiliki akses ke apa. Yaitu, principal dapat melakukan tindakan pada suatu sumber daya, dan dalam suatu syarat.

ActionElemen JSON kebijakan menjelaskan tindakan yang dapat Anda gunakan untuk mengizinkan atau menolak akses dalam kebijakan. Tindakan kebijakan biasanya memiliki nama yang sama dengan AWS API operasi terkait. Ada beberapa pengecualian, seperti tindakan khusus izin yang tidak memiliki operasi yang cocok. API Ada juga beberapa operasi yang memerlukan beberapa tindakan dalam suatu kebijakan. Tindakan tambahan ini disebut tindakan dependen.

Menyertakan tindakan dalam kebijakan untuk memberikan izin untuk melakukan operasi terkait.

Tindakan kebijakan CodeDeploy menggunakan codedeploy: awalan sebelum tindakan. Misalnya, codedeploy:GetApplication izin memberikan izin pengguna untuk melakukan operasi. GetApplication Pernyataan kebijakan harus mencakup salah satu Action atau NotAction elemen. CodeDeploy mendefinisikan serangkaian tindakannya sendiri yang menggambarkan tugas yang dapat Anda lakukan dengan layanan ini.

Untuk menetapkan beberapa tindakan dalam satu pernyataan, pisahkan dengan koma seperti berikut:

"Action": [
      "codedeploy:action1",
      "codedeploy:action2"

Anda dapat menentukan beberapa tindakan menggunakan wildcard (*). Misalnya, sertakan tindakan berikut untuk menentukan semua tindakan yang dimulai dengan kataDescribe:

"Action": "ec2:Describe*"

Untuk daftar tindakan, lihat CodeDeploy Tindakan yang Ditentukan oleh AWS CodeDeploy dalam Panduan IAM Pengguna.

Untuk tabel yang mencantumkan semua CodeDeploy API tindakan dan sumber daya yang diterapkan, lihatReferensi izin CodeDeploy.

Sumber daya

Administrator dapat menggunakan AWS JSON kebijakan untuk menentukan siapa yang memiliki akses ke apa. Yaitu, principal dapat melakukan tindakan pada suatu sumber daya, dan dalam suatu syarat.

Elemen Resource JSON kebijakan menentukan objek atau objek yang tindakan tersebut berlaku. Pernyataan harus menyertakan elemen Resource atau NotResource. Sebagai praktik terbaik, tentukan sumber daya menggunakan Amazon Resource Name (ARN). Anda dapat melakukan ini untuk tindakan yang mendukung jenis sumber daya tertentu, yang dikenal sebagai izin tingkat sumber daya.

Untuk tindakan yang tidak mendukung izin di tingkat sumber daya, misalnya operasi pencantuman, gunakan wildcard (*) untuk menunjukkan bahwa pernyataan tersebut berlaku untuk semua sumber daya.

"Resource": "*"

Misalnya, Anda dapat menunjukkan grup penyebaran (myDeploymentGroup) dalam pernyataan Anda menggunakan ARN sebagai berikut:

"Resource": "arn:aws:codedeploy:us-west-2:123456789012:deploymentgroup:myApplication/myDeploymentGroup"

Anda juga dapat menentukan semua grup penyebaran milik akun dengan menggunakan karakter wildcard (*) sebagai berikut:

"Resource": "arn:aws:codedeploy:us-west-2:123456789012:deploymentgroup:*"

Untuk menentukan semua sumber daya, atau jika API tindakan tidak mendukungARNs, gunakan karakter wildcard (*) dalam Resource elemen sebagai berikut:

"Resource": "*"

Beberapa CodeDeploy API tindakan menerima banyak sumber daya (misalnya,BatchGetDeploymentGroups). Untuk menentukan beberapa sumber daya dalam satu pernyataan, pisahkan ARNs dengan koma, sebagai berikut:

"Resource": ["arn1", "arn2"]

CodeDeploy menyediakan satu set operasi untuk bekerja dengan CodeDeploy sumber daya. Untuk daftar operasi yang tersedia, lihat Referensi izin CodeDeploy.

Untuk daftar jenis CodeDeploy sumber daya dan jenis sumber dayaARNs, lihat Sumber Daya yang Ditentukan oleh AWS CodeDeploy dalam Panduan IAM Pengguna. Untuk informasi tentang tindakan di mana Anda dapat menentukan setiap sumber daya, lihat Tindakan yang Ditentukan oleh AWS CodeDeploy. ARN

CodeDeploy sumber daya dan operasi

Di CodeDeploy, sumber daya utama adalah grup penyebaran. Dalam kebijakan, Anda menggunakan Amazon Resource Name (ARN) untuk mengidentifikasi sumber daya yang berlaku untuk kebijakan tersebut. CodeDeploy mendukung sumber daya lain yang dapat digunakan dengan grup penyebaran, termasuk aplikasi, konfigurasi penerapan, dan instance. Ini dirujuk sebagai sub-sumber daya. Sumber daya dan subsumber daya ini memiliki hubungan unik ARNs yang terkait dengannya. Untuk informasi selengkapnya, lihat nama sumber daya Amazon (ARNs) di Referensi Umum Amazon Web Services.

Kunci syarat

CodeDeploy tidak menyediakan kunci kondisi khusus layanan apa pun, tetapi mendukung penggunaan beberapa kunci kondisi global. Untuk informasi selengkapnya, lihat kunci konteks kondisi AWS global di Panduan IAM Pengguna.

Contoh

Untuk melihat contoh kebijakan CodeDeploy berbasis identitas, lihat. Contoh kebijakan berbasis identitas AWS CodeDeploy

CodeDeploy kebijakan berbasis sumber daya

CodeDeploy tidak mendukung kebijakan berbasis sumber daya. Untuk melihat contoh halaman kebijakan berbasis sumber daya terperinci, lihat Menggunakan kebijakan berbasis sumber daya untuk. AWS Lambda

Otorisasi berdasarkan tanda CodeDeploy

CodeDeploy tidak mendukung penandaan sumber daya atau mengendalikan akses berdasarkan tag.

CodeDeploy IAMperan

IAMPeran adalah entitas di AWS akun Anda yang memiliki izin tertentu.

Menggunakan kredensi sementara dengan CodeDeploy

Anda dapat menggunakan kredensi sementara untuk masuk dengan federasi, mengambil IAM peran, atau untuk mengambil peran lintas akun. Anda memperoleh kredensi keamanan sementara dengan memanggil AWS STS API operasi seperti AssumeRoleatau. GetFederationToken

CodeDeploy mendukung penggunaan kredensyal sementara.

Peran terkait layanan

CodeDeploy tidak mendukung peran terkait layanan.

Peran layanan

Fitur ini memungkinkan layanan untuk menerima peran layanan atas nama Anda. Peran ini mengizinkan layanan untuk mengakses sumber daya di layanan lain untuk menyelesaikan tindakan atas nama Anda. Peran layanan muncul di AWS akun Anda dan dimiliki oleh akun. Ini berarti bahwa pengguna dapat mengubah izin untuk peran ini. Namun, melakukan hal itu dapat merusak fungsionalitas layanan.

CodeDeploy mendukung peran layanan.

Memilih IAM peran dalam CodeDeploy

Saat membuat sumber daya grup penyebaran CodeDeploy, Anda harus memilih peran yang diizinkan CodeDeploy mengakses Amazon EC2 atas nama Anda. Jika sebelumnya Anda telah membuat peran layanan atau peran terkait layanan, CodeDeploy memberi Anda daftar peran yang dapat dipilih. Penting untuk memilih peran yang memungkinkan akses untuk memulai dan menghentikan EC2 instance.