AWS CodePipeline의 Identity and Access Management(IAM)

에 로그인 AWS Management Console 하고 에서 IAM 콘솔을 엽니다https://console.aws.amazon.com/iam/.

IAM 콘솔의 탐색 창에서 역할 을 선택한 다음 AWS-CodePipeline-Service 역할 목록에서 역할을 선택합니다.

권한 탭으로 가서 인라인 정책의 서비스 역할 정책 열에서 정책 편집을 선택합니다.

정책 문서 상자에 필요한 권한을 추가합니다.

예를 들어 CodeCommit 지원을 받으려면 정책 설명에 다음을 추가합니다.

{
  "Effect": "Allow",
  "Action": [  
      "codecommit:GetBranch",
      "codecommit:GetCommit",
      "codecommit:UploadArchive",
      "codecommit:GetUploadArchiveStatus",      
      "codecommit:CancelUploadArchive"
            ],
  "Resource": "resource_ARN"
},

AWS OpsWorks 지원을 받으려면 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "opsworks:CreateDeployment",
        "opsworks:DescribeApps",
        "opsworks:DescribeCommands",
        "opsworks:DescribeDeployments",
        "opsworks:DescribeInstances",
        "opsworks:DescribeStacks",
        "opsworks:UpdateApp",
        "opsworks:UpdateStack"
    ],
    "Resource": "resource_ARN"
},

AWS CloudFormation 지원을 받으려면 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStacks",
        "cloudformation:UpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DescribeChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:SetStackPolicy",
        "cloudformation:ValidateTemplate",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN"
},

단, cloudformation:DescribeStackEvents 권한은 선택 사항이라는 점에 유의하십시오. 작업을 통해 더 자세한 오류 메시지를 AWS CloudFormation 표시할 수 있습니다. 파이프라인 오류 메시지에 리소스 세부 정보가 표시되지 않도록 하려면 IAM 역할에서 이 권한을 취소할 수 있습니다. 자세한 내용은 AWS CloudFormation 작업 참조 배포 단원을 참조하십시오.

CodeBuild 지원을 받으려면 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuilds",
        "codebuild:StartBuild"
    ],
    "Resource": "resource_ARN"
},

AWS Device Farm 지원을 받으려면 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "devicefarm:ListProjects",
        "devicefarm:ListDevicePools",
        "devicefarm:GetRun",
        "devicefarm:GetUpload",
        "devicefarm:CreateUpload",
        "devicefarm:ScheduleRun"
    ],
    "Resource": "resource_ARN"
},

Service Catalog 지원의 경우 다음을 정책 설명에 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "servicecatalog:ListProvisioningArtifacts",
        "servicecatalog:CreateProvisioningArtifact",
        "servicecatalog:DescribeProvisioningArtifact",
        "servicecatalog:DeleteProvisioningArtifact",
        "servicecatalog:UpdateProduct"
    ],
    "Resource": "resource_ARN"
},
{
    "Effect": "Allow",
    "Action": [
        "cloudformation:ValidateTemplate"
    ],
    "Resource": "resource_ARN"
}

Amazon ECR 지원의 경우 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "ecr:DescribeImages"
    ],
    "Resource": "resource_ARN"
},

Amazon 의 경우 ECSAmazon ECS 배포 작업을 사용하여 파이프라인을 생성하는 데 필요한 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        "ecs:DescribeTasks",
        "ecs:ListTasks",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource",
        "ecs:UpdateService"
    ],
    "Resource": "resource_ARN"
},

Amazon 에서 태그 지정 권한 부여를 사용하도록 선택할 수 있습니다ECS. 옵트인을 통해 다음 권한: ecs:TagResource를 부여해야 합니다. 옵트인하는 방법과 권한 필요 여부 및 태그 권한 부여 적용 여부에 대한 자세한 내용은 Amazon Elastic Container Service 개발자 안내서의 태그 지정 권한 부여 타임라인을 참조하세요.

작업에 IAM 역할을 사용할 수 있는 iam:PassRole 권한도 추가해야 합니다. 자세한 내용은 Amazon ECS 작업 실행 IAM 역할 및 IAM 작업 역할 을 참조하세요. 다음 정책 텍스트를 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

CodeDeployToECS 작업(blue/green deployments), the following are the minimum permissions needed to create pipelines with a CodeDeploy to Amazon ECS blue/green 배포 작업.

{
    "Effect": "Allow",
    "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetApplication",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision",
        "codedeploy:GetDeploymentConfig",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource"
    ],
    "Resource": "resource_ARN"
},

Amazon 에서 태그 지정 권한 부여를 사용하도록 선택할 수 있습니다ECS. 옵트인을 통해 다음 권한: ecs:TagResource를 부여해야 합니다. 옵트인하는 방법과 권한 필요 여부 및 태그 권한 부여 적용 여부에 대한 자세한 내용은 Amazon Elastic Container Service 개발자 안내서의 태그 지정 권한 부여 타임라인을 참조하세요.

작업에 IAM 역할을 사용할 수 있는 iam:PassRole 권한도 추가해야 합니다. 자세한 내용은 Amazon ECS 작업 실행 IAM 역할 및 IAM 작업 역할 을 참조하세요. 다음 정책 텍스트를 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

이 예와 같이 iam:PassedToService 조건에 따라 서비스 목록에 ecs-tasks.amazonaws.com을 추가할 수도 있습니다.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "resource_ARN",
            "Condition": {
                "StringEqualsIfExists": {
                    "iam:PassedToService": [
                        "cloudformation.amazonaws.com",
                        "elasticbeanstalk.amazonaws.com",
                        "ec2.amazonaws.com",
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        },

AWS CodeStar 연결의 경우 Bitbucket Cloud와 같은 연결을 사용하는 소스로 파이프라인을 생성하려면 다음 권한이 필요합니다.

{
    "Effect": "Allow",
    "Action": [
        "codestar-connections:UseConnection"
    ],
    "Resource": "resource_ARN"
},

연결 IAM 권한에 대한 자세한 내용은 연결 권한 참조를 참조하세요.

StepFunctions 작업의 경우 Step Functions 호출 작업을 통해 파이프라인을 만드는 데 필요한 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "states:DescribeStateMachine",
        "states:DescribeExecution",
        "states:StartExecution"
    ],
    "Resource": "resource_ARN"
},

AppConfig 작업의 경우 AWS AppConfig 다음은 호출 작업으로 파이프라인을 생성하는 데 필요한 최소 권한입니다.

{
    "Effect": "Allow",
    "Action": [
        "appconfig:StartDeployment",
        "appconfig:GetDeployment",
        "appconfig:StopDeployment"
    ],
    "Resource": "resource_ARN"
},

배치 빌드를 CodeBuild 지원하려면 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuildBatches",
        "codebuild:StartBuildBatch"
    ],
    "Resource": "resource_ARN"
},

AWS CloudFormation StackSets 작업의 경우 다음과 같은 최소 권한이 필요합니다.

전체 복제 옵션을 CodeCommit 지원하려면 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "codecommit:GetRepository"
    ],
    "Resource": "resource_ARN"
},

Elastic Beanstalk의 경우 ElasticBeanstalk 배포 작업을 통해 파이프라인을 만드는 데 필요한 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "elasticbeanstalk:*",
        "ec2:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "rds:*",
        "sqs:*",
        "ecs:*"
    ],
    "Resource": "resource_ARN"
},

CloudWatch 로그에 대해 구성하려는 파이프라인의 경우 CodePipeline 서비스 역할에 추가해야 하는 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "logs:DescribeLogGroups",
        "logs:PutRetentionPolicy"
    ],
    "Resource": "resource_ARN"
},

명령 작업 지원의 경우 정책 설명에 다음을 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream", 
        "logs:PutLogEvents"
    ],
    "Resource": "resource_ARN"
},

정책 검토를 선택해 정책에 오류가 없는지 확인합니다. 정책에 오류가 없으면 정책 적용를 선택합니다.