IAM 역할을 사용하여 프로젝트 AWS 리소스에 대한 액세스 권한 부여

CodeCatalyst AWS CodeCatalyst 스페이스에 연결하여 AWS 계정 리소스에 액세스할 수 있습니다. 그런 다음 다음 서비스 역할을 생성하고 계정을 연결할 때 이들을 연결할 수 있습니다.

JSON 정책에서 사용하는 요소에 대한 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소 참조를 참조하십시오.

CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할 이해

연결된 AWS 계정공간에서 리소스를 생성하고 액세스하는 데 사용할 CodeCatalyst 수 있는 IAM 역할을 스페이스에 추가할 수 있습니다. 이를 서비스 역할이라고 합니다. 서비스 역할을 만드는 가장 간단한 방법은 공간을 만들 때 서비스 역할을 추가하고 해당 역할에 대한 CodeCatalystWorkflowDevelopmentRole-spaceName옵션을 선택하는 것입니다. 이렇게 하면 AdministratorAccess 연결된 서비스 역할이 만들어질 뿐만 아니라 스페이스의 프로젝트에서 사용자를 대신하여 역할을 맡을 수 CodeCatalyst 있는 신뢰 정책도 만들어집니다. 서비스 역할의 범위는 개별 프로젝트가 아니라 스페이스로 제한됩니다. 이 역할을 생성하려면 계정 및 스페이스에 대한 CodeCatalystWorkflowDevelopmentRole-spaceName역할 만들기 단원을 참조하세요. 각 계정의 각 스페이스에 대해 하나의 역할만 만들 수 있습니다.

CodeCatalystWorkflowDevelopmentRole-spaceName역할에 첨부된 정책은 스페이스에서 블루프린트를 사용하여 만든 프로젝트에 사용할 수 있도록 설계되었습니다. 이를 통해 해당 프로젝트의 사용자는 커넥티드 AWS 계정환경의 리소스를 사용하여 코드를 개발, 빌드, 테스트 및 배포할 수 있습니다. 자세한 내용은 AWS 서비스 역할 만들기를 참조하십시오.

CodeCatalystWorkflowDevelopmentRole-spaceName역할에 연결된 정책은 의 AdministratorAccess 관리형 정책입니다 AWS. 이 정책은 모든 AWS 작업과 리소스에 대한 전체 액세스 권한을 부여하는 정책입니다. IAM 콘솔에서 JSON 정책 문서를 보려면 을 참조하십시오. AdministratorAccess

다음 신뢰 정책은 역할을 CodeCatalyst 맡을 CodeCatalystWorkflowDevelopmentRole-spaceName수 있도록 허용합니다. CodeCatalyst 신뢰 모델에 대한 자세한 내용은 을 참조하십시오 CodeCatalyst 신뢰 모델 이해.

"Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
             "Principal": { 
                "Service": [ 
                    "codecatalyst-runner.amazonaws.com",
                    "codecatalyst.amazonaws.com" 
                ] 
            }, 
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:codecatalyst:::space/spaceId/project/*"
                }
            }
        }
    ]
  

계정 및 스페이스에 대한 CodeCatalystWorkflowDevelopmentRole-spaceName역할 만들기

다음 단계에 따라 스페이스의 워크플로에 사용할 CodeCatalystWorkflowDevelopmentRole-spaceName 역할을 만드세요. 프로젝트에서 사용할 IAM 역할을 할당하려는 각 계정에 대해 개발자 역할과 같은 역할을 스페이스에 추가해야 합니다.

시작하기 전에 관리자 권한이 AWS 계정 있거나 관리자와 협력할 수 있어야 합니다. 에서 CodeCatalyst IAM 역할을 사용하는 방법 AWS 계정 및 IAM 역할에 대한 자세한 내용은 을 참조하십시오연결된 AWS 리소스에 대한 액세스 허용 AWS 계정.

AWSRoleForCodeCatalystSupport서비스 역할 이해

스페이스의 CodeCatalyst 사용자가 지원 사례를 생성하고 액세스하는 데 사용할 수 있는 스페이스의 IAM 역할을 추가할 수 있습니다. 이를 지원용 서비스 역할이라고 합니다. 지원용 서비스 역할을 생성하는 가장 간단한 방법은 공간을 생성할 때 하나를 추가하고 해당 역할에 대한 AWSRoleForCodeCatalystSupport 옵션을 선택하는 것입니다. 이렇게 하면 정책과 역할이 만들어질 뿐만 아니라 스페이스의 프로젝트에서 사용자를 대신하여 역할을 CodeCatalyst 맡을 수 있는 신뢰 정책도 만들어집니다. 서비스 역할의 범위는 개별 프로젝트가 아니라 스페이스로 제한됩니다. 이 역할을 생성하려면 계정 및 스페이스에 대한 AWSRoleForCodeCatalystSupport역할 생성 단원을 참조하세요.

AWSRoleForCodeCatalystSupport역할에 연결된 정책은 지원 권한에 대한 액세스를 제공하는 관리형 정책입니다. 자세한 정보는 AWS 관리형 정책: AmazonCodeCatalystSupportAccess을 참조하세요.

정책의 신뢰 역할을 통해 역할을 CodeCatalyst 수임할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codecatalyst.amazonaws.com",
                    "codecatalyst-runner.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

계정 및 스페이스에 대한 AWSRoleForCodeCatalystSupport역할 생성

다음 단계에 따라 스페이스의 지원 사례에 사용할 AWSRoleForCodeCatalystSupport 역할을 만드십시오. 스페이스의 지정된 결제 계정에 역할을 추가해야 합니다.

시작하기 전에 관리자 권한이 AWS 계정 있거나 관리자와 함께 작업할 수 있어야 합니다. 에서 CodeCatalyst IAM 역할을 사용하는 방법 AWS 계정 및 IAM 역할에 대한 자세한 내용은 을 참조하십시오연결된 AWS 리소스에 대한 액세스 허용 AWS 계정.

워크플로우 작업에 대한 IAM 역할 구성 CodeCatalyst

이 섹션에서는 계정에 사용하기 위해 생성할 수 있는 IAM 역할 및 정책을 자세히 설명합니다. CodeCatalyst 예제 역할 생성에 대한 지침은 을 참조하십시오워크플로 작업을 위한 역할을 수동으로 생성. IAM 역할을 생성한 후 역할 ARN을 복사하여 계정 연결에 IAM 역할을 추가하고 프로젝트 환경에 연결합니다. 자세한 내용은 계정 연결에 IAM 역할 추가 섹션을 참조하세요.

CodeCatalyst Amazon S3 액세스를 위한 빌드 역할

CodeCatalyst 워크플로 빌드 작업의 경우 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나 CodeCatalystBuildRoleforS3Access라는 IAM 역할을 생성할 수 있습니다. 이 역할은 내 리소스에서 AWS CloudFormation 작업을 CodeCatalyst 실행해야 하는 권한 범위가 지정된 정책을 사용합니다. AWS 계정

이 역할은 다음 작업을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [{
    "Action": [
        "s3:PutObject",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN",
    "Effect": "Allow"
}]
}

"Resource": "*"

CodeCatalyst 빌드 역할: AWS CloudFormation

CodeCatalyst 워크플로 빌드 작업의 경우 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나 필요한 권한을 가진 IAM 역할을 생성할 수 있습니다. 이 역할은 내 AWS CloudFormation 리소스에서 작업을 CodeCatalyst 실행해야 하는 권한 범위가 지정된 정책을 사용합니다. AWS 계정

이 역할은 다음 작업을 수행할 수 있는 권한을 부여합니다.

이 역할에는 다음과 같은 AWS 관리형 정책을 연결해야 합니다.

CodeCatalyst CDK를 위한 빌드 역할

모던 3계층 웹 애플리케이션과 같이 CDK 빌드 작업을 실행하는 CodeCatalyst 워크플로의 경우 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나 필요한 권한이 있는 IAM 역할을 생성할 수 있습니다. 이 역할은 범위 지정 권한이 있는 정책을 사용하며, 이 정책은 해당 리소스에 대해 부트스트랩하고 CDK 빌드 명령을 CodeCatalyst 실행해야 합니다. AWS CloudFormation AWS 계정

이 역할은 다음 작업을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:PassRole",
                "iam:GetRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "*"
        }
    ]
}

"Resource": "*"

CodeCatalyst 역할 배포 대상: AWS CloudFormation

를 사용하는 CodeCatalyst AWS CloudFormation워크플로 배포 작업의 경우 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나, 의 AWS CloudFormation 리소스에서 작업을 CodeCatalyst 실행해야 하는 범위 지정 권한이 있는 정책을 사용할 수 있습니다 AWS 계정.

이 역할은 다음을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

{"Action": [
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:Describe*",
        "cloudformation:UpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:SetStackPolicy",
        "cloudformation:ValidateTemplate",
        "cloudformation:List*",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN",
    "Effect": "Allow"
}

"Resource": "*"

CodeCatalyst Amazon EC2의 배포 역할

CodeCatalyst 워크플로 배포 작업은 필요한 권한이 있는 IAM 역할을 사용합니다. 이 역할은 사용자의 Amazon EC2 리소스에서 작업을 CodeCatalyst 실행해야 하는 권한 범위가 지정된 정책을 사용합니다. AWS 계정CodeCatalystWorkflowDevelopmentRole-spaceName역할의 기본 정책에는 Amazon EC2 또는 Amazon EC2 Auto Scaling에 대한 권한이 포함되지 않습니다.

이 역할은 다음을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
 "autoscaling:CompleteLifecycleAction",
"autoscaling:DeleteLifecycleHook",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeLifecycleHooks",
"autoscaling:PutLifecycleHook",
"autoscaling:RecordLifecycleActionHeartbeat",
"autoscaling:CreateAutoScalingGroup",
"autoscaling:UpdateAutoScalingGroup",
"autoscaling:EnableMetricsCollection",
"autoscaling:DescribePolicies",
"autoscaling:DescribeScheduledActions",
"autoscaling:DescribeNotificationConfigurations",
"autoscaling:SuspendProcesses",
"autoscaling:ResumeProcesses",
"autoscaling:AttachLoadBalancers",
"autoscaling:AttachLoadBalancerTargetGroups",
"autoscaling:PutScalingPolicy",
"autoscaling:PutScheduledUpdateGroupAction",
"autoscaling:PutNotificationConfiguration",
"autoscaling:PutWarmPool",
"autoscaling:DescribeScalingActivities",
"autoscaling:DeleteAutoScalingGroup",
"ec2:DescribeInstances",
"ec2:DescribeInstanceStatus",
"ec2:TerminateInstances",
"tag:GetResources",
"sns:Publish",
"cloudwatch:DescribeAlarms",
"cloudwatch:PutMetricAlarm",
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeInstanceHealth",
"elasticloadbalancing:RegisterInstancesWithLoadBalancer",
"elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
"elasticloadbalancing:DescribeTargetGroups",
"elasticloadbalancing:DescribeTargetHealth",
"elasticloadbalancing:RegisterTargets",
"elasticloadbalancing:DeregisterTargets"
],
"Resource": "resource_ARN"
      }
   ]
}

"Resource": "*"

CodeCatalyst Amazon ECS의 배포 역할

CodeCatalyst 워크플로 작업의 경우 필요한 권한을 가진 IAM 역할을 생성할 수 있습니다. 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나 Lambda CodeCatalyst 배포에 사용할 배포 작업에 대한 IAM 역할을 생성할 수 있습니다. 이 역할은 사용자의 Amazon ECS 리소스에서 작업을 CodeCatalyst 실행해야 하는 권한 범위가 지정된 정책을 사용합니다. AWS 계정

이 역할은 다음을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [{
    "Action":[
      "ecs:DescribeServices",
      "ecs:CreateTaskSet",
      "ecs:DeleteTaskSet",
      "ecs:ListClusters",
      "ecs:RegisterTaskDefinition",
      "ecs:UpdateServicePrimaryTaskSet",
      "ecs:UpdateService",
      "elasticloadbalancing:DescribeTargetGroups",
      "elasticloadbalancing:DescribeListeners",
      "elasticloadbalancing:ModifyListener",
      "elasticloadbalancing:DescribeRules",
      "elasticloadbalancing:ModifyRule",
      "lambda:InvokeFunction",
      "lambda:ListFunctions",
      "cloudwatch:DescribeAlarms",
      "sns:Publish",
      "sns:ListTopics", 
      "s3:GetObject",
      "s3:GetObjectVersion",
      "codedeploy:CreateApplication", 
      "codedeploy:CreateDeployment", 
      "codedeploy:CreateDeploymentGroup", 
      "codedeploy:GetApplication", 
      "codedeploy:GetDeployment", 
      "codedeploy:GetDeploymentGroup", 
      "codedeploy:ListApplications", 
      "codedeploy:ListDeploymentGroups", 
      "codedeploy:ListDeployments", 
      "codedeploy:StopDeployment", 
      "codedeploy:GetDeploymentTarget", 
      "codedeploy:ListDeploymentTargets", 
      "codedeploy:GetDeploymentConfig", 
      "codedeploy:GetApplicationRevision", 
      "codedeploy:RegisterApplicationRevision", 
      "codedeploy:BatchGetApplicationRevisions", 
      "codedeploy:BatchGetDeploymentGroups", 
      "codedeploy:BatchGetDeployments", 
      "codedeploy:BatchGetApplications", 
      "codedeploy:ListApplicationRevisions", 
      "codedeploy:ListDeploymentConfigs", 
      "codedeploy:ContinueDeployment"           
   ],
   "Resource":"*",
   "Effect":"Allow"
},{"Action":[
      "iam:PassRole"
   ],
   "Effect":"Allow",
   "Resource":"*",
   "Condition":{"StringLike":{"iam:PassedToService":[
            "ecs-tasks.amazonaws.com",
            "codedeploy.amazonaws.com"
         ]
      }
   }
}]
}

"Resource": "*"

CodeCatalyst Lambda에 대한 배포 역할

CodeCatalyst 워크플로 작업의 경우 필요한 권한을 가진 IAM 역할을 생성할 수 있습니다. 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나 Lambda CodeCatalyst 배포에 사용할 배포 작업에 대한 IAM 역할을 생성할 수 있습니다. 이 역할은 사용자의 Lambda 리소스에서 작업을 CodeCatalyst 실행해야 하는 범위 지정 권한이 있는 정책을 사용합니다. AWS 계정

이 역할은 다음을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:UpdateAlias",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig",
                "sns:Publish"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": "arn:aws:lambda:::function:CodeDeployHook_*",
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

CodeCatalyst Lambda에 대한 배포 역할

CodeCatalyst 워크플로 작업의 경우 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나 필요한 권한이 있는 IAM 역할을 생성할 수 있습니다. 이 역할은 사용자의 Lambda 리소스에서 작업을 CodeCatalyst 실행해야 하는 범위 지정 권한이 있는 정책을 사용합니다. AWS 계정

이 역할은 다음을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:UpdateAlias",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig",
                "sns:Publish"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": "arn:aws:lambda:::function:CodeDeployHook_*",
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

CodeCatalyst 역할 배포 대상: AWS SAM

CodeCatalyst 워크플로 작업의 경우 기본 CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할을 사용하거나 필요한 권한을 가진 IAM 역할을 생성할 수 있습니다. 이 역할은 작업을 CodeCatalyst 실행해야 하는 권한 범위가 지정된 AWS SAM 정책과 해당 내 AWS CloudFormation 리소스를 사용합니다. AWS 계정

이 역할은 다음 작업을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "iam:PassRole",
                "iam:DeleteRole",
                "iam:GetRole",
                "iam:TagRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
                "cloudformation:*",
                "lambda:*",
                "apigateway:*"
            ],
            "Resource": "*"
        }
    ]
}

"Resource": "*"

CodeCatalyst Amazon EC2의 읽기 전용 역할

CodeCatalyst 워크플로 작업의 경우 필요한 권한을 가진 IAM 역할을 생성할 수 있습니다. 이 역할은 사용자의 Amazon EC2 리소스에서 작업을 CodeCatalyst 실행해야 하는 권한 범위가 지정된 정책을 사용합니다. AWS 계정CodeCatalystWorkflowDevelopmentRole-spaceName서비스 역할에는 Amazon EC2에 대한 권한이나 Amazon에 대해 설명된 작업은 포함되지 않습니다. CloudWatch

이 역할은 다음을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:Describe",
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:Describe",
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:Describe"
            ],
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:Describe",
            "Resource": "resource_ARN"
        }
    ]
}

"Resource": "*"

CodeCatalyst Amazon ECS의 읽기 전용 역할

CodeCatalyst 워크플로 작업의 경우 필요한 권한을 가진 IAM 역할을 생성할 수 있습니다. 이 역할은 사용자의 Amazon ECS 리소스에서 작업을 CodeCatalyst 실행해야 하는 권한 범위가 지정된 정책을 사용합니다. AWS 계정

이 역할은 다음을 수행할 수 있는 권한을 부여합니다.

이 역할은 다음 정책을 사용합니다.

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ecs:DescribeServices",
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
       {
            "Action": [
                "elasticloadbalancing:DescribeTargetGroups",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeRules"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
       {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam:::role/ecsTaskExecutionRole",
                "arn:aws:iam:::role/ECSTaskExecution"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

"Resource": "*"

CodeCatalyst Lambda의 읽기 전용 역할

CodeCatalyst 워크플로 작업의 경우 필요한 권한을 가진 IAM 역할을 생성할 수 있습니다. 이 역할은 사용자의 Lambda 리소스에서 작업을 CodeCatalyst 실행해야 하는 범위 지정 권한이 있는 정책을 사용합니다. AWS 계정

이 역할은 다음에 대한 권한을 부여합니다.

이 역할은 다음과 같은 정책을 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

워크플로 작업을 위한 역할을 수동으로 생성

CodeCatalyst 워크플로 작업은 사용자가 생성한 IAM 역할, 즉 빌드 역할, 배포 역할, 스택 역할을 사용합니다.

다음 단계에 따라 IAM에서 이러한 역할을 생성하세요.

IAM에서 정책 및 역할을 생성하는 AWS CloudFormation 데 사용

AWS CloudFormation 템플릿을 생성하고 사용하여 CodeCatalyst 프로젝트 및 워크플로의 리소스에 액세스하는 데 필요한 정책과 역할을 생성할 수 있습니다. AWS 계정 AWS CloudFormation 리소스를 모델링하고 설정하여 AWS 리소스를 관리하는 데 소요되는 시간을 줄이고 실행 중인 애플리케이션에 더 많은 시간을 할애할 수 있도록 도와주는 AWS서비스입니다. 역할을 여러 AWS 계정개로 생성하려는 경우 템플릿을 만들면 이 작업을 더 빠르게 수행할 수 있습니다.

다음 예제 템플릿은 배포 작업 역할 및 정책을 생성합니다.

Parameters:
  CodeCatalystAccountId:
    Type: String
    Description: Account ID from the connections page
  ExternalId:
    Type: String
    Description: External ID from the connections page
Resources:
  CrossAccountRole:
    Type: 'AWS::IAM::Role'
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - !Ref CodeCatalystAccountId
            Action:
              - 'sts:AssumeRole'
            Condition:
              StringEquals:
                sts:ExternalId: !Ref ExternalId
      Path: /
      Policies:
        - PolicyName: CodeCatalyst-CloudFormation-action-policy
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action:
                  - 'cloudformation:CreateStack'
                  - 'cloudformation:DeleteStack'
                  - 'cloudformation:Describe*'
                  - 'cloudformation:UpdateStack'
                  - 'cloudformation:CreateChangeSet'
                  - 'cloudformation:DeleteChangeSet'
                  - 'cloudformation:ExecuteChangeSet'
                  - 'cloudformation:SetStackPolicy'
                  - 'cloudformation:ValidateTemplate'
                  - 'cloudformation:List*'
                  - 'iam:PassRole'
                Resource: '*'

웹 애플리케이션 블루프린트의 역할을 수동으로 생성

CodeCatalyst 웹 애플리케이션 블루프린트는 사용자가 생성한 IAM 역할, 즉 CDK용 빌드 역할, 배포 역할, 스택 역할을 사용합니다.

다음 단계에 따라 IAM에서 역할을 생성하세요.

SAM 블루프린트의 역할을 수동으로 생성

CodeCatalyst SAM 블루프린트는 사용자가 생성한 IAM 역할을 사용합니다. 이 역할을 SAM의 빌드 CloudFormation 역할과 배포 역할이라고 합니다.

다음 단계에 따라 IAM에서 역할을 생성하세요.