AWS CodePipeline의 Identity and Access Management(IAM)

에서 AWS Management Console 로그인하고 IAM 콘솔을 엽니다 https://console.aws.amazon.com/iam/.

IAM콘솔의 탐색 창에서 역할을 선택한 다음 역할 목록에서 AWS-CodePipeline-Service 역할을 선택합니다.

권한 탭으로 가서 인라인 정책의 서비스 역할 정책 열에서 정책 편집을 선택합니다.

정책 문서 상자에 필요한 권한을 추가합니다.

예를 들어 CodeCommit 지원을 받으려면 정책 설명에 다음을 추가하세요.

{
  "Effect": "Allow",
  "Action": [  
      "codecommit:GetBranch",
      "codecommit:GetCommit",
      "codecommit:UploadArchive",
      "codecommit:GetUploadArchiveStatus",      
      "codecommit:CancelUploadArchive"
            ],
  "Resource": "resource_ARN"
},

AWS OpsWorks 지원을 받으려면 정책 설명서에 다음을 추가하십시오.

{
    "Effect": "Allow",
    "Action": [
        "opsworks:CreateDeployment",
        "opsworks:DescribeApps",
        "opsworks:DescribeCommands",
        "opsworks:DescribeDeployments",
        "opsworks:DescribeInstances",
        "opsworks:DescribeStacks",
        "opsworks:UpdateApp",
        "opsworks:UpdateStack"
    ],
    "Resource": "resource_ARN"
},

AWS CloudFormation 지원을 받으려면 정책 설명서에 다음을 추가하십시오.

{
    "Effect": "Allow",
    "Action": [
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStacks",
        "cloudformation:UpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DescribeChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:SetStackPolicy",
        "cloudformation:ValidateTemplate",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN"
},

단, cloudformation:DescribeStackEvents 권한은 선택 사항이라는 점에 유의하십시오. 그러면 AWS CloudFormation 작업에 더 자세한 오류 메시지가 표시될 수 있습니다. 파이프라인 오류 메시지에 리소스 세부 정보가 표시되지 않도록 하려면 IAM 역할에서 이 권한을 취소할 수 있습니다. 자세한 내용은 AWS CloudFormation 배포 작업 참조 단원을 참조하십시오.

CodeBuild 지원을 받으려면 정책 설명에 다음을 추가하세요.

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuilds",
        "codebuild:StartBuild"
    ],
    "Resource": "resource_ARN"
},

AWS Device Farm 지원을 받으려면 정책 설명서에 다음을 추가하십시오.

{
    "Effect": "Allow",
    "Action": [
        "devicefarm:ListProjects",
        "devicefarm:ListDevicePools",
        "devicefarm:GetRun",
        "devicefarm:GetUpload",
        "devicefarm:CreateUpload",
        "devicefarm:ScheduleRun"
    ],
    "Resource": "resource_ARN"
},

Service Catalog 지원의 경우 다음을 정책 설명에 추가합니다.

{
    "Effect": "Allow",
    "Action": [
        "servicecatalog:ListProvisioningArtifacts",
        "servicecatalog:CreateProvisioningArtifact",
        "servicecatalog:DescribeProvisioningArtifact",
        "servicecatalog:DeleteProvisioningArtifact",
        "servicecatalog:UpdateProduct"
    ],
    "Resource": "resource_ARN"
},
{
    "Effect": "Allow",
    "Action": [
        "cloudformation:ValidateTemplate"
    ],
    "Resource": "resource_ARN"
}

Amazon ECR 지원의 경우 정책 설명에 다음을 추가하십시오.

{
    "Effect": "Allow",
    "Action": [
        "ecr:DescribeImages"
    ],
    "Resource": "resource_ARN"
},

Amazon의 ECS 경우 Amazon ECS 배포 작업을 사용하여 파이프라인을 생성하는 데 필요한 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        "ecs:DescribeTasks",
        "ecs:ListTasks",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource",
        "ecs:UpdateService"
    ],
    "Resource": "resource_ARN"
},

ECSAmazon에서 태깅 인증을 사용하도록 옵트인할 수 있습니다. 옵트인을 통해 다음 권한: ecs:TagResource를 부여해야 합니다. 옵트인하는 방법과 권한 필요 여부 및 태그 권한 부여 적용 여부에 대한 자세한 내용은 Amazon Elastic Container Service 개발자 안내서의 태그 지정 권한 부여 타임라인을 참조하세요.

작업에 IAM 역할을 사용하려면 iam:PassRole 권한도 추가해야 합니다. 자세한 내용은 Amazon ECS 작업 실행 IAM IAM 역할 및 작업 역할을 참조하십시오. 다음 정책 텍스트를 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

CodeDeployToECS작업 (블루/그린 배포) 의 경우 CodeDeploy Amazon 블루/그린 배포 작업으로 파이프라인을 생성하는 데 필요한 최소 권한은 다음과 같습니다. ECS

{
    "Effect": "Allow",
    "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetApplication",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision",
        "codedeploy:GetDeploymentConfig",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource"
    ],
    "Resource": "resource_ARN"
},

ECSAmazon에서 태깅 인증을 사용하도록 옵트인할 수 있습니다. 옵트인을 통해 다음 권한: ecs:TagResource를 부여해야 합니다. 옵트인하는 방법과 권한 필요 여부 및 태그 권한 부여 적용 여부에 대한 자세한 내용은 Amazon Elastic Container Service 개발자 안내서의 태그 지정 권한 부여 타임라인을 참조하세요.

작업에 IAM 역할을 사용하려면 iam:PassRole 권한도 추가해야 합니다. 자세한 내용은 Amazon ECS 작업 실행 IAM IAM 역할 및 작업 역할을 참조하십시오. 다음 정책 텍스트를 사용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

이 예와 같이 iam:PassedToService 조건에 따라 서비스 목록에 ecs-tasks.amazonaws.com을 추가할 수도 있습니다.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "resource_ARN",
            "Condition": {
                "StringEqualsIfExists": {
                    "iam:PassedToService": [
                        "cloudformation.amazonaws.com",
                        "elasticbeanstalk.amazonaws.com",
                        "ec2.amazonaws.com",
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        },

연결의 경우 Bitbucket Cloud와 같은 AWS CodeStar 연결을 사용하는 소스로 파이프라인을 생성하려면 다음 권한이 필요합니다.

{
    "Effect": "Allow",
    "Action": [
        "codestar-connections:UseConnection"
    ],
    "Resource": "resource_ARN"
},

연결 IAM 권한에 대한 자세한 내용은 연결 권한 참조를 참조하십시오.

StepFunctions 작업의 경우 Step Functions 호출 작업을 통해 파이프라인을 만드는 데 필요한 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "states:DescribeStateMachine",
        "states:DescribeExecution",
        "states:StartExecution"
    ],
    "Resource": "resource_ARN"
},

작업의 경우 AWS AppConfig 호출 AppConfig 작업으로 파이프라인을 생성하는 데 필요한 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "appconfig:StartDeployment",
        "appconfig:GetDeployment",
        "appconfig:StopDeployment"
    ],
    "Resource": "resource_ARN"
},

배치 빌드를 CodeBuild 지원하려면 정책 설명에 다음을 추가하세요.

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuildBatches",
        "codebuild:StartBuildBatch"
    ],
    "Resource": "resource_ARN"
},

AWS CloudFormation StackSets 작업의 경우 다음과 같은 최소 권한이 필요합니다.

전체 복제 옵션에 대한 CodeCommit 지원을 받으려면 정책 설명에 다음을 추가하십시오.

{
    "Effect": "Allow",
    "Action": [
        "codecommit:GetRepository"
    ],
    "Resource": "resource_ARN"
},

Elastic Beanstalk의 경우 ElasticBeanstalk 배포 작업을 통해 파이프라인을 만드는 데 필요한 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "elasticbeanstalk:*",
        "ec2:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "rds:*",
        "sqs:*",
        "ecs:*"
    ],
    "Resource": "resource_ARN"
},

CloudWatch 로그용으로 구성하려는 파이프라인의 경우 CodePipeline 서비스 역할에 추가해야 하는 최소 권한은 다음과 같습니다.

{
    "Effect": "Allow",
    "Action": [
        "logs:DescribeLogGroups",
        "logs:PutRetentionPolicy"
    ],
    "Resource": "resource_ARN"
},

정책 검토를 선택해 정책에 오류가 없는지 확인합니다. 정책에 오류가 없으면 정책 적용를 선택합니다.