CodeBuild가 다른 AWS 서비스와 상호 작용하도록 허용

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

다음 중 하나를 사용하여 콘솔에 이미 로그인되어 있어야 합니다.

탐색 창에서 Policies를 선택합니다.

정책 생성(Create Policy)을 선택합니다.

[Create Policy] 페이지에서 [JSON]을 선택합니다.

JSON 정책에 대해 다음을 입력한 다음 정책 검토를 선택합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudWatchLogsPolicy",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CodeCommitPolicy",
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3GetObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3PutObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "ECRPullPolicy",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    },
    {
      "Sid": "ECRAuthPolicy",
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3BucketIdentity",
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": "*"
    }
  ]
}

정책 검토 페이지의 정책 이름에 정책의 이름(예: CodeBuildServiceRolePolicy)을 입력한 후 정책 생성을 선택합니다.

탐색 창에서 Roles를 선택합니다.

Create role(역할 생성)을 선택합니다.

역할 생성 페이지에서 AWS 서비스가 이미 선택되어 있으면 CodeBuild를 선택하고 다음: 권한을 선택합니다.

권한 정책 연결 페이지에서 CodeBuildServiceRolePolicy를 선택한 후 다음: 검토를 선택합니다.

역할 생성 및 검토 페이지의 역할 이름에 역할의 이름(예: CodeBuildServiceRole)을 입력한 후 역할 생성을 선택합니다.

이전 절차에 설명된 대로 IAM 엔터티 중 하나에 해당하는 AWS 액세스 키와 AWS 보안 액세스 키 AWS CLI 로를 구성했는지 확인합니다. 자세한 내용은AWS Command Line Interface 사용 설명서의 AWS Command Line Interface설정을 참조하세요.

AWS CLI 가 설치된 로컬 워크스테이션 또는 인스턴스의 빈 디렉터리에서 create-role.json 및 라는 두 개의 파일을 생성합니다put-role-policy.json. 다른 파일 이름을 선택하는 경우 이 절차 전체에서 해당 이름으로 바꿉니다.

create-role.json:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "codebuild.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

서비스 역할을 AWS 계정으로 제한하려는 경우는 다음과 비슷할 create-role.json 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "codebuild.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": [
                        "account-ID"
                    ]
                }
            }
        }
    ]
}

서비스 역할을 특정 CodeBuild 프로젝트로 제한하려는 경우 create-role.json이 다음과 비슷할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "codebuild.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:codebuild:region-ID:account-ID:project/project-name"
                }
            }
        }
    ]
}

put-role-policy.json:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudWatchLogsPolicy",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CodeCommitPolicy",
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3GetObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3PutObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3BucketIdentity",
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": "*"
    }
  ]
}

앞의 파일을 저장한 디렉터리로 전환한 다음, 다음 두 가지 명령을 다음 순서로 한 번에 하나씩 실행합니다. CodeBuildServiceRole과 CodeBuildServiceRolePolicy에 다른 값을 사용하려면 여기에서 사용해야 합니다.

aws iam create-role --role-name CodeBuildServiceRole --assume-role-policy-document file://create-role.json

aws iam put-role-policy --role-name CodeBuildServiceRole --policy-name CodeBuildServiceRolePolicy --policy-document file://put-role-policy.json