As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Vários tokens de acesso em CodeBuild

CodeBuild suporta o fornecimento de tokens de acesso para provedores terceirizados a partir de seus segredos em AWS Secrets Manager ou por meio de Conexões de código da AWS conexões. Você pode definir seu segredo ou conexão como a credencial padrão para interações com um provedor terceirizado específico GitHub, como GitHub Enterprise ou Bitbucket.

Você pode definir suas credenciais de origem em três níveis diferentes:

Etapa 1: criar um segredo ou uma CodeConnections conexão do Secrets Manager

Use as instruções a seguir para criar um segredo ou uma CodeConnections conexão do Secrets Manager:

Etapa 2: Conceder acesso à função IAM do CodeBuild projeto aos segredos do Secrets Manager

Para conceder acesso à função IAM do CodeBuild projeto ao Secrets Manager CodeConnections, você deve adicionar a seguinte política de IAM.

Etapa 3: configurar o Secrets Manager ou CodeConnections tokens

Você pode definir suas credenciais de origem em três níveis diferentes com o Secrets Manager ou CodeConnections tokens.

Configurar o Secrets Manager ou CodeConnections tokens como credenciais no nível da conta

Você pode configurar um segredo ou CodeConnections conexão do Secrets Manager como uma credencial no nível da conta e usá-la em um projeto.

Console de gerenciamento da AWS

Para configurar uma conexão como uma credencial de nível de conta no Console de gerenciamento da AWS

1. Em Provedor de origem, escolha Bitbucket ou GitHub Enterprise. GitHub

2. Em Credencial, siga um destes procedimentos:

   • Escolha Credencial de origem padrão para usar a credencial de origem padrão da conta e aplicá-la a todos os projetos.

     1. Se você ainda não tiver feito login no provedor de origem, escolha Gerenciar credencial de origem padrão.

     2. Em Tipo de credencial, escolha um tipo de credencial.

     3. Se você preferir CodeConnections, escolha usar uma conexão existente ou criar uma nova conexão.

        Se você escolheu outro tipo de credencial, em Serviço, escolha qual serviço você gostaria de usar para armazenar seu token e faça o seguinte:

        • Se você optar por usar o Secrets Manager, poderá usar uma conexão secreta existente ou criar um segredo e escolher Salvar. Para obter mais informações sobre como criar um segredo, consulte Criar e armazenar um token em um segredo do Secrets Manager.

        • Se você optar por usar CodeBuild, insira seu token ou seu nome de usuário e senha do aplicativo e escolha Salvar. Para obter um token da API Bitbucket, insira o endereço de e-mail da sua conta Atlassian e o token da API.

   • Escolha Credencial de origem personalizada para usar uma credencial de origem personalizada para substituir as configurações padrão da conta.

     1. Em Tipo de credencial, escolha um tipo de credencial.

     2. Em Conexão, escolha usar uma conexão existente ou crie uma.

AWS CLI

Para configurar uma conexão como uma credencial de nível de conta no AWS CLI

• Abra um terminal (Linux, macOS ou Unix) ou um prompt de comando (Windows). Use o AWS CLI para executar o import-source-credentials comando.

  Use o seguinte comando para configurar um segredo do Secrets Manager:

  aws codebuild import-source-credentials \
      --token "<secret-arn>" \
      --server-type <source-provider> \
      --auth-type SECRETS_MANAGER \
      --region <aws-region>

  Use o comando a seguir para configurar uma CodeConnections conexão:

  aws codebuild import-source-credentials \
      --token "<connection-arn>" \
      --server-type <source-provider> \
      --auth-type CODECONNECTIONS \
      --region <aws-region>

  Esse comando permite importar um token como credenciais de origem padrão no nível da conta. Ao importar uma credencial usando a ImportSourceCredentials API, CodeBuild usará o token para todas as interações com o provedor de origem, como webhooks, relatórios de status de compilação e operações de clone do git, a menos que um conjunto mais específico de credenciais tenha sido configurado no projeto.

Agora você pode usar o token no projeto de compilação e executá-lo. Para obter mais informações, consulte Crie um projeto de construção em AWS CodeBuild e Execute AWS CodeBuild compilações manualmente.

Configurar vários tokens como credenciais no nível de origem

Para usar segredos ou CodeConnections conexões do Secrets Manager como credenciais de nível de origem, faça referência direta ao token no CodeBuild projeto e inicie uma compilação.

Console de gerenciamento da AWS

Para configurar vários tokens como credenciais de nível de origem no Console de gerenciamento da AWS

1. Em Provedor de origem, escolha GitHub.

2. Em Credencial, siga um destes procedimentos:

   • Escolha Credencial de origem padrão para usar a credencial de origem padrão da conta e aplicá-la a todos os projetos.

     1. Se você não estiver conectado GitHub, escolha Gerenciar credencial de origem padrão.

     2. Em Tipo de credencial, escolha GitHub Aplicativo.

     3. Em Conexão, escolha usar uma conexão existente ou crie uma.

   • Escolha Credencial de origem personalizada para usar uma credencial de origem personalizada para substituir as configurações padrão da conta.

     1. Em Tipo de credencial, escolha GitHub Aplicativo.

     2. Em Conexão, escolha usar uma conexão existente ou crie uma.

3. Escolha Adicionar origem e repita o processo de escolha do provedor de origem e das credenciais.

AWS CLI

Para configurar vários tokens como credenciais de nível de origem no AWS CLI

• Abra um terminal (Linux, macOS ou Unix) ou um prompt de comando (Windows). Use o AWS CLI para executar o create-project comando.

  Use o seguinte comando:

  aws codebuild create-project --region <aws-region> \
      --name <project-name> \
      --artifacts type=NO_ARTIFACTS \
      --environment "type=LINUX_CONTAINER,
                     computeType=BUILD_GENERAL1_SMALL,
                     image=aws/codebuild/amazonlinux-x86_64-standard:5.0" \
      --service-role <service-role-name> \
      --source "type=GITHUB,
                location=<github-repository-1>,
                auth={type=SECRETS_MANAGER,resource=<secret-or-connection-arn-1>}" \
      --secondary-sources "type=GITHUB,
                location=<github-repository-2>,
                auth={type=SECRETS_MANAGER,resource=<secret-or-connection-arn-2>},
                sourceIdentifier=secondary"
  
  aws codebuild start-build --region <aws-region> --project-name <project-name>

Defina um fallback de credencial de origem no nível do projeto

Para configurar o fallback da credencial de origem no nível do projeto, use NO_SOURCE como fonte primária do seu projeto e faça referência ao token.

aws codebuild create-project \
    --name <project-name> \
    --service-role <service-role-name> \
    --artifacts type=NO_ARTIFACTS \
    --environment "type=LINUX_CONTAINER,
                   computeType=BUILD_GENERAL1_SMALL,
                   image=aws/codebuild/amazonlinux-x86_64-standard:5.0" \
    --service-role <service-role-name> \
    --source "type=NO_SOURCE,
              auth={type=SECRETS_MANAGER,resource=<secret-or-connection-arn>},
              buildspec=<buildspec>"
    --secondary-sources "type=GITHUB,
                         location=<github-repository>,
                         sourceIdentifier=secondary"

aws codebuild start-build --region <aws-region> --project-name <project_name>

Ao usar NO_SOURCE, um buildspec normalmente é fornecido dentro do modelo de origem, pois não está diretamente configurado para usar uma fonte externa para buscar buildspec. Normalmente, uma origem NO_SOURCE lidará com a clonagem de todos os repositórios relevantes de dentro do buildspec. Para garantir que as credenciais configuradas estejam disponíveis para essas operações, você pode ativar a opção git-credential-helper no buildspec.

env:
  git-credential-helper: yes

Durante a compilação, então CodeBuild lerá o AuthServer campo do token configurado e usará as credenciais do token para todas as solicitações git para esse provedor de origem terceirizado específico.

Opções de configuração adicionais

Você pode configurar as credenciais de nível de conta do Secrets Manager usando CloudFormation modelos. Você pode usar o CloudFormation modelo a seguir para definir uma credencial no nível da conta:

Parameters:
  GitHubToken:
    Type: String
    NoEcho: true
    Default: placeholder
Resources:
  CodeBuildAuthTokenSecret:
    Type: AWS::SecretsManager::Secret
    Properties:
      Description: CodeBuild auth token
      Name: codebuild-auth-token
      SecretString:
        !Join
          - ''
          - - '{"ServerType":"GITHUB","AuthType":"PERSONAL_ACCESS_TOKEN","Token":"'
            - !Ref GitHubToken
            - '"}'
      Tags:
        - Key: codebuild:source:provider
          Value: github
        - Key: codebuild:source:type
          Value: personal_access_token
  CodeBuildSecretsManagerAccountCredential:
    Type: AWS::CodeBuild::SourceCredential
    Properties:
      ServerType: GITHUB
      AuthType: SECRETS_MANAGER
      Token: !Ref CodeBuildAuthTokenSecret

Você também pode configurar várias credenciais de nível de origem do Secrets Manager usando CloudFormation modelos. Você pode usar o CloudFormation modelo a seguir para usar vários tokens para obter várias fontes:

Parameters:
  GitHubTokenOne:
    Type: String
    NoEcho: true
    Default: placeholder
  GitHubTokenTwo:
    Type: String
    NoEcho: true
    Default: placeholder

Resources:
  CodeBuildSecretsManagerProject:
    Type: AWS::CodeBuild::Project
    Properties:
      Name: codebuild-multitoken-example
      ServiceRole: <service-role>
      Environment:
        Type: LINUX_CONTAINER
        ComputeType: BUILD_GENERAL1_SMALL
        Image: aws/codebuild/amazonlinux-x86_64-standard:5.0
      Source:
        Type: GITHUB
        Location: <github-repository-one>
        Auth:
          Type: SECRETS_MANAGER
          Resource: !Ref CodeBuildAuthTokenSecretOne
      SecondarySources:
        - Type: GITHUB
          Location: <github-repository-two>
          Auth:
            Type: SECRETS_MANAGER
            Resource: !Ref CodeBuildAuthTokenSecretTwo
          SourceIdentifier: secondary
      Artifacts:
        Type: NO_ARTIFACTS
      LogsConfig:
        CloudWatchLogs:
          Status: ENABLED
  CodeBuildProjectIAMRoleSecretAccess:
    Type: AWS::IAM::RolePolicy
    Properties:
      RoleName: <role-name>
      PolicyName: CodeBuildProjectIAMRoleSecretAccessPolicy
      PolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Action:
              - secretsmanager:GetSecretValue
            Resource:
              - !Ref CodeBuildAuthTokenSecretOne
              - !Ref CodeBuildAuthTokenSecretTwo
  CodeBuildAuthTokenSecretOne:
    Type: AWS::SecretsManager::Secret
    Properties:
      Description: CodeBuild auth token one
      Name: codebuild-auth-token-one
      SecretString:
        !Join
          - ''
          - - '{"ServerType":"GITHUB","AuthType":"PERSONAL_ACCESS_TOKEN","Token":"'
            - !Ref GitHubTokenOne
            - '"}'
      Tags:
        - Key: codebuild:source:provider
          Value: github
        - Key: codebuild:source:type
          Value: personal_access_token
  CodeBuildAuthTokenSecretTwo:
    Type: AWS::SecretsManager::Secret
    Properties:
      Description: CodeBuild auth token two
      Name: codebuild-auth-token-two
      SecretString:
        !Join
          - ''
          - - '{"ServerType":"GITHUB","AuthType":"PERSONAL_ACCESS_TOKEN","Token":"'
            - !Ref GitHubTokenTwo
            - '"}'
      Tags:
        - Key: codebuild:source:provider
          Value: github
        - Key: codebuild:source:type
          Value: personal_access_token