翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS CodeArtifact のアイデンティティベースのポリシーの例

デフォルトでは、ユーザーとロールには CodeArtifact リソースを作成または変更するアクセス許可がありません。また、、 AWS Command Line Interface （AWS CLI） AWS Management Console、または AWS API を使用してタスクを実行することはできません。必要なリソースに対してアクションを実行するアクセス許可をユーザーに付与するには、IAM 管理者は IAM ポリシーを作成できます。その後、管理者は IAM ポリシーをロールに追加し、ユーザーはロールを引き受けることができます。

これらのサンプル IAM ポリシードキュメントを使用して JSON アイデンティティベースのポリシーを作成する方法については、Word IAMユーザーガイドのIAM ポリシーの作成 (コンソール）」を参照してください。

各リソースタイプの ARNs の形式など、 CodeArtifact で定義されるアクションとリソースタイプの詳細については、「サービス認可リファレンス」のAWS CodeArtifact のアクション、リソース、および条件キー」を参照してください。

ポリシーのベストプラクティス

ID ベースのポリシーは、アカウント内の CodeArtifact リソースを作成、アクセス、または削除できるかどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM のベストプラクティスの詳細については、Word ユーザーガイドのIAM のセキュリティのベストプラクティス」を参照してください。 IAM

CodeArtifact コンソールの使用

AWS CodeArtifact コンソールにアクセスするには、最小限のアクセス許可が必要です。これらのアクセス許可により、 内の CodeArtifact リソースの詳細を一覧表示して表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

AWS CLI または AWS API に対してのみ呼び出しを行うユーザーに対して、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションにのみアクセスを許可します。

ユーザーとロールが引き続き CodeArtifact コンソールを使用できるようにするには、 AWSCodeArtifactAdminAccess または AWSCodeArtifactReadOnlyAccess AWS マネージドポリシーをエンティティにアタッチします。詳細については、IAM ユーザーガイドの「ユーザーへのアクセス許可の追加」を参照してください。

AWS の AWS CodeArtifact 管理 (事前定義) ポリシー

AWS は、 によって作成および管理されるスタンドアロン IAM ポリシーを提供することで、多くの一般的なユースケースに対応します AWS。これらの AWS マネージドポリシーは、一般的なユースケースに必要なアクセス許可を付与するため、必要なアクセス許可を調査する必要がなくなります。詳細については、AWS ユーザーガイドの「Word マネージドポリシー」を参照してください。 IAM

アカウント内のユーザーにアタッチできる次の AWS 管理ポリシーは、 AWS CodeArtifact に固有のものです。

CodeArtifact サービスロールを作成および管理するには、 という名前 AWS の管理ポリシーもアタッチする必要がありますIAMFullAccess。

また、独自のカスタム IAM ポリシーを作成して、 CodeArtifact アクションとリソースのアクセス許可を許可することもできます。これらのカスタムポリシーは、これらのアクセス許可を必要とする IAM ユーザーまたはグループにアタッチできます。

ユーザーが自分の許可を表示できるようにする

この例では、IAM ユーザーがユーザー ID にアタッチされているインラインポリシーとマネージドポリシーを表示できるようにするポリシーを作成する方法を示します。このポリシーには、コンソールで、または AWS CLI or AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

リポジトリやドメインに関する情報の取得をユーザーに許可する

次のポリシーでは、IAM ユーザーまたはロールがドメイン、リポジトリ、パッケージ、アセットなど、あらゆる種類の CodeArtifact リソースを一覧表示して記述することを許可します。このポリシーには、プリンシパルが a CodeArtifact リポジトリからパッケージを取得できるようにする codeArtifact:ReadFromRepository アクセス許可も含まれています。新しいドメインやリポジトリの作成は許可せず、新しいパッケージの公開も許可しません。

API GetAuthorizationToken を呼び出すには、 codeartifact:GetAuthorizationTokenおよび アクセスsts:GetServiceBearerToken許可が必要です。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*",
            "codeartifact:Get*",
            "codeartifact:Read*"
         ],
         "Resource": "*"      
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      }
   ]
}

特定のドメインに関する情報の取得をユーザーに許可する

us-east-2リージョンにあり、123456789012 のアカウントで、名前が my で始まるドメインについての情報のみをユーザーがリストアップすることを許可するアクセス許可ポリシーの例を次に示します。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": "codeartifact:ListDomains",
         "Resource": "arn:aws:codeartifact:us-east-2:123456789012:domain/my*"      
      }
   ]
}

特定のリポジトリに関する情報の取得をユーザーに許可する

testで終わるリポジトリおよびそれに含まれるパッケージに関する情報をユーザーが取得できるようにするアクセス許可ポリシーの例を以下に示します。ユーザーは、リソースを発行したり、作成したり、削除することができなくなります。

API GetAuthorizationToken を呼び出すには、 codeartifact:GetAuthorizationTokenおよび アクセスsts:GetServiceBearerToken許可が必要です。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*",
            "codeartifact:Get*",
            "codeartifact:Read*"
         ],
         "Resource": "arn:aws:codeartifact:*:*:repository/*/*test"      
      },
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*"
         ],
         "Resource": "arn:aws:codeartifact:*:*:package/*/*test/*/*/*"   
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      },
      {
         "Effect": "Allow",
         "Action": "codeartifact:GetAuthorizationToken",
         "Resource": "*"
      }
   ]
}

認可トークンの期間の制限

パッケージバージョンを発行または使用するには、認可トークンを使用して to CodeArtifact を認証する必要があります。認可トークンは、設定された有効期間中にのみ有効です。トークンの有効期間はデフォルトで 12 時間となっています。認可レスポンスの詳細については、「AWS CodeArtifact 認証とトークン」を参照してください。

トークンを取得するときに、ユーザーはトークンの有効期間を設定できます。認可トークンの有効期間の有効な値は で0、 900 (15 分) から 43200 (12 時間) までの任意の数値です。0の値は、ユーザーのロールの一時的な認証情報に等しい期間を持つトークンを作成します。

管理者は、ユーザーまたはグループにアタッチされたアクセス許可ポリシーの条件sts:DurationSecondsキーを使用して、認可トークンの有効期間の有効な値を制限できます。有効値以外の有効期間を持つ認可トークンをユーザーが作成しようとすると、トークンの作成は失敗します。

次のポリシー例では、 CodeArtifact ユーザーが作成した認可トークンの可能な期間を制限しています。

ポリシー例:トークンの有効期間を 12 時間 (43200 秒) ちょうどに制限する

このポリシーを使用すると、ユーザーは有効期間が 12 時間の認可トークンしか作成することができません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "codeartifact:*",
            "Resource": "*"
        },
        {
            "Sid": "sts",
            "Effect": "Allow",
            "Action": "sts:GetServiceBearerToken",
            "Resource": "*",
            "Condition": {
                "NumericEquals": {
                    "sts:DurationSeconds": 43200
                },
                "StringEquals": {
                    "sts:AWSServiceName": "codeartifact.amazonaws.com"
                }
            }
        }
    ]
}
           

ポリシー例:トークンの有効期間を 15 分から 1 時間、またはユーザーの一時的な認証情報期間と等しい時間に制限する

このポリシーにより、ユーザーは 15 分から 1 時間の間で有効なトークンを作成することができます。また、ユーザーは、--durationSecondsに対して0を指定することで、ロールの一時的な認証情報の有効期間を保持するトークンを作成することもできます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "codeartifact:*",
            "Resource": "*"
        },
        {
            "Sid": "sts",
            "Effect": "Allow",
            "Action": "sts:GetServiceBearerToken",
            "Resource": "*",
            "Condition": {
                "NumericLessThanEquals": {
                    "sts:DurationSeconds": 3600
                },
                "StringEquals": {
                    "sts:AWSServiceName": "codeartifact.amazonaws.com"
                }
            }
        }
    ]
}