Crittografa gli output della build utilizzando una chiave gestita dal cliente

Se segui i passaggi AWS CodeBuild per accedere Nozioni di base utilizzando la console per la prima volta, molto probabilmente non hai bisogno delle informazioni contenute in questo argomento. Tuttavia, continuando a utilizzare CodeBuild, potresti voler eseguire operazioni come crittografare gli elementi della build.

Per AWS CodeBuild crittografare gli artefatti di output della build, deve accedere a una chiave KMS. Per impostazione predefinita, CodeBuild utilizza il Chiave gestita da AWS per Amazon S3 nel tuo AWS account.

Se non desideri utilizzare il Chiave gestita da AWS, devi creare e configurare tu stesso una chiave gestita dal cliente. Questa sezione descrive come eseguire questa operazione con la console IAM.

Per informazioni sulle chiavi gestite dai clienti, consulta AWS Key Management Service Concepts and Creating Keys nella AWS KMS Developer Guide.

Per configurare una chiave gestita dal cliente da utilizzare da parte di CodeBuild, segui le istruzioni nella sezione «Come modificare una politica chiave» della sezione Modificare una politica chiave nella Guida per gli AWS KMS sviluppatori. Quindi aggiungi le seguenti istruzioni (tra ### BEGIN ADDING STATEMENTS HERE ### e### END ADDING STATEMENTS HERE ###) alla politica chiave. Le ellissi (...) vengono utilizzate per brevità e per aiutare i clienti a individuare il punto in cui aggiungere le istruzioni. Non rimuovere nessuna istruzione e non digitare queste ellissi nella policy della chiave.

{
  "Version": "2012-10-17",
  "Id": "...",
  "Statement": [
    ### BEGIN ADDING STATEMENTS HERE ###
    {
      "Sid": "Allow access through Amazon S3 for all principals in the account that are authorized to use Amazon S3",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "s3.region-ID.amazonaws.com",
          "kms:CallerAccount": "account-ID"
        }
      }
    },
    {
      "Effect": "Allow", 
      "Principal": {
        "AWS": "arn:aws:iam::account-ID:role/CodeBuild-service-role"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    ### END ADDING STATEMENTS HERE ###
    {
      "Sid": "Enable IAM User Permissions",
      ...
    },
    {
      "Sid": "Allow access for Key Administrators",
      ...
    },
    {
      "Sid": "Allow use of the key",
      ...
    },
    {
      "Sid": "Allow attachment of persistent resources",
      ...
    }
  ]
}