使用 IAM 角色授予对项目 AWS 资源的访问权限

CodeCatalyst 可以通过将您的 AWS 账户连接到 CodeCatalyst 空间来访问 AWS 资源。之后，您可以创建以下服务角色并在连接账户时将其关联。

有关在 JSON 策略中使用的元素的更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素参考。

了解 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色

您可以为空间添加一个 IAM 角色，CodeCatalyst 可使用该角色在已连接的 AWS 账户环境中创建和访问资源。该角色称作服务角色。创建服务角色的最简单方法是，在创建空间时添加一个服务角色并为该角色选择 CodeCatalystWorkflowDevelopmentRole-spaceName 选项。这不仅会创建已附加 AdministratorAccess 的服务角色，还会创建信任策略，该策略使 CodeCatalyst 能够代表空间中项目的用户代入此角色。服务角色的范围限于空间而不是单个项目。如需创建此角色，请参阅为您的账户和空间创建 CodeCatalystWorkflowDevelopmentRole-spaceName 角色。您只能为每个账户中的每个空间创建一个角色。

附加到 CodeCatalystWorkflowDevelopmentRole-spaceName 角色的策略旨在用于使用空间中的蓝图创建的项目。该策略使这些项目中的用户能够使用已连接的 AWS 账户中的资源来开发、构建、测试和部署代码。有关更多信息，请参阅创建用于 AWS 服务的角色。

附加到 CodeCatalystWorkflowDevelopmentRole-spaceName 角色的策略是 AWS 中的 AdministratorAccess 托管式策略。这是一项授予对所有 AWS 操作和资源的完全访问权限的策略。要在 IAM 控制台中查看 JSON 策略文档，请参阅 AdministratorAccess。

以下信任策略使 CodeCatalyst 能够代入 CodeCatalystWorkflowDevelopmentRole-spaceName 角色。有关 CodeCatalyst 信任模型的更多信息，请参阅了解 CodeCatalyst 信任模型。

"Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
             "Principal": { 
                "Service": [ 
                    "codecatalyst-runner.amazonaws.com",
                    "codecatalyst.amazonaws.com" 
                ] 
            }, 
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:codecatalyst:::space/spaceId/project/*"
                }
            }
        }
    ]
  

为您的账户和空间创建 CodeCatalystWorkflowDevelopmentRole-spaceName 角色

按照以下步骤操作，创建将用于空间中的工作流的 CodeCatalystWorkflowDevelopmentRole-spaceName 角色。对于要具有在项目中使用的 IAM 角色的每个账户，您必须向空间添加一个角色，例如开发人员角色。

在开始之前，您必须拥有 AWS 账户的管理权限或能够与您的管理员合作。有关如何在 CodeCatalyst 中使用 AWS 账户和 IAM 角色的更多信息，请参阅允许使用已连接的 AWS 账户访问 AWS 资源。

了解 AWSRoleForCodeCatalystSupport 服务角色

您可以为空间添加一个 IAM 角色，空间中的 CodeCatalyst 用户可使用该角色创建和访问支持案例。此角色称作用于支持的服务角色。创建用于支持的服务角色的最简单方法是，在创建空间时添加一个服务角色并为该角色选择 AWSRoleForCodeCatalystSupport 选项。这不仅会创建策略和角色，还会创建信任策略，该策略使 CodeCatalyst 能够代表空间中项目的用户代入此角色。服务角色的范围限于空间而不是单个项目。如需创建此角色，请参阅为您的账户和空间创建 AWSRoleForCodeCatalystSupport 角色。

附加到 AWSRoleForCodeCatalystSupport 角色的策略是提供支持权限的托管式策略。有关更多信息，请参阅 AWS 托管式策略：AmazonCodeCatalystSupportAccess。

该策略的信任角色使得 CodeCatalyst 能够代入此角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codecatalyst.amazonaws.com",
                    "codecatalyst-runner.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

为您的账户和空间创建 AWSRoleForCodeCatalystSupport 角色

按照以下步骤操作，创建将用于空间中的支持案例的 AWSRoleForCodeCatalystSupport 角色。必须将该角色添加到空间的指定计费账户中。

在开始之前，您必须拥有 AWS 账户的管理权限或能够与您的管理员合作。有关如何在 CodeCatalyst 中使用 AWS 账户和 IAM 角色的更多信息，请参阅允许使用已连接的 AWS 账户访问 AWS 资源。

为 CodeCatalyst 中的工作流操作配置 IAM 角色

此部分详细介绍了可创建的用于 CodeCatalyst 账户的 IAM 角色和策略。有关创建示例角色的说明，请参阅手动为工作流操作创建角色。创建 IAM 角色后，复制角色 ARN 以将 IAM 角色添加到账户连接中，并将其与项目环境关联。要了解更多信息，请参阅将 IAM 角色添加到账户连接。

适用于 Amazon S3 访问的 CodeCatalyst 构建角色

对于 CodeCatalyst 工作流构建操作，您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以创建一个名为 CodeCatalystBuildRoleforS3Access 的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 AWS CloudFormation 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

{
    "Version": "2012-10-17",
    "Statement": [{
    "Action": [
        "s3:PutObject",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN",
    "Effect": "Allow"
}]
}

"Resource": "*"

适用于 AWS CloudFormation 的 CodeCatalyst 构建角色

对于 CodeCatalyst 工作流构建操作，您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以创建具有必要权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 AWS CloudFormation 资源上运行任务。

此角色授予执行以下操作所需的权限：

应将以下 AWS 托管式策略附加到此角色：

适用于 CDK 的 CodeCatalyst 构建角色

对于运行 CDK 构建操作的 CodeCatalyst 工作流（例如，现代三层 Web 应用程序），您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以创建具有必要权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能对 AWS 账户中的 AWS CloudFormation 资源启动和运行 CDK 构建命令。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:PassRole",
                "iam:GetRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "*"
        }
    ]
}

"Resource": "*"

适用于 AWS CloudFormation 的 CodeCatalyst 部署角色

对于使用 AWS CloudFormation 的 CodeCatalyst 工作流部署操作，您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 AWS CloudFormation 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

{"Action": [
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:Describe*",
        "cloudformation:UpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:SetStackPolicy",
        "cloudformation:ValidateTemplate",
        "cloudformation:List*",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN",
    "Effect": "Allow"
}

"Resource": "*"

适用于 Amazon EC2 的 CodeCatalyst 部署角色

CodeCatalyst 工作流部署操作使用具有所需权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 Amazon EC2 资源上运行任务。CodeCatalystWorkflowDevelopmentRole-spaceName 角色的默认策略不包括 Amazon EC2 或 Amazon EC2 Auto Scaling 的权限。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
 "autoscaling:CompleteLifecycleAction",
"autoscaling:DeleteLifecycleHook",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeLifecycleHooks",
"autoscaling:PutLifecycleHook",
"autoscaling:RecordLifecycleActionHeartbeat",
"autoscaling:CreateAutoScalingGroup",
"autoscaling:UpdateAutoScalingGroup",
"autoscaling:EnableMetricsCollection",
"autoscaling:DescribePolicies",
"autoscaling:DescribeScheduledActions",
"autoscaling:DescribeNotificationConfigurations",
"autoscaling:SuspendProcesses",
"autoscaling:ResumeProcesses",
"autoscaling:AttachLoadBalancers",
"autoscaling:AttachLoadBalancerTargetGroups",
"autoscaling:PutScalingPolicy",
"autoscaling:PutScheduledUpdateGroupAction",
"autoscaling:PutNotificationConfiguration",
"autoscaling:PutWarmPool",
"autoscaling:DescribeScalingActivities",
"autoscaling:DeleteAutoScalingGroup",
"ec2:DescribeInstances",
"ec2:DescribeInstanceStatus",
"ec2:TerminateInstances",
"tag:GetResources",
"sns:Publish",
"cloudwatch:DescribeAlarms",
"cloudwatch:PutMetricAlarm",
"elasticloadbalancing:DescribeLoadBalancers",
"elasticloadbalancing:DescribeInstanceHealth",
"elasticloadbalancing:RegisterInstancesWithLoadBalancer",
"elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
"elasticloadbalancing:DescribeTargetGroups",
"elasticloadbalancing:DescribeTargetHealth",
"elasticloadbalancing:RegisterTargets",
"elasticloadbalancing:DeregisterTargets"
],
"Resource": "resource_ARN"
      }
   ]
}

"Resource": "*"

适用于 Amazon ECS 的 CodeCatalyst 部署角色

对于 CodeCatalyst 工作流操作，您可以创建具有所需权限的 IAM 角色。您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以创建适用于 CodeCatalyst 部署操作的 IAM 角色以用于 Lambda 部署。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 Amazon ECS 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

{
    "Version": "2012-10-17",
    "Statement": [{
    "Action":[
      "ecs:DescribeServices",
      "ecs:CreateTaskSet",
      "ecs:DeleteTaskSet",
      "ecs:ListClusters",
      "ecs:RegisterTaskDefinition",
      "ecs:UpdateServicePrimaryTaskSet",
      "ecs:UpdateService",
      "elasticloadbalancing:DescribeTargetGroups",
      "elasticloadbalancing:DescribeListeners",
      "elasticloadbalancing:ModifyListener",
      "elasticloadbalancing:DescribeRules",
      "elasticloadbalancing:ModifyRule",
      "lambda:InvokeFunction",
      "lambda:ListFunctions",
      "cloudwatch:DescribeAlarms",
      "sns:Publish",
      "sns:ListTopics", 
      "s3:GetObject",
      "s3:GetObjectVersion",
      "codedeploy:CreateApplication", 
      "codedeploy:CreateDeployment", 
      "codedeploy:CreateDeploymentGroup", 
      "codedeploy:GetApplication", 
      "codedeploy:GetDeployment", 
      "codedeploy:GetDeploymentGroup", 
      "codedeploy:ListApplications", 
      "codedeploy:ListDeploymentGroups", 
      "codedeploy:ListDeployments", 
      "codedeploy:StopDeployment", 
      "codedeploy:GetDeploymentTarget", 
      "codedeploy:ListDeploymentTargets", 
      "codedeploy:GetDeploymentConfig", 
      "codedeploy:GetApplicationRevision", 
      "codedeploy:RegisterApplicationRevision", 
      "codedeploy:BatchGetApplicationRevisions", 
      "codedeploy:BatchGetDeploymentGroups", 
      "codedeploy:BatchGetDeployments", 
      "codedeploy:BatchGetApplications", 
      "codedeploy:ListApplicationRevisions", 
      "codedeploy:ListDeploymentConfigs", 
      "codedeploy:ContinueDeployment"           
   ],
   "Resource":"*",
   "Effect":"Allow"
},{"Action":[
      "iam:PassRole"
   ],
   "Effect":"Allow",
   "Resource":"*",
   "Condition":{"StringLike":{"iam:PassedToService":[
            "ecs-tasks.amazonaws.com",
            "codedeploy.amazonaws.com"
         ]
      }
   }
}]
}

"Resource": "*"

适用于 Lambda 的 CodeCatalyst 部署角色

对于 CodeCatalyst 工作流操作，您可以创建具有所需权限的 IAM 角色。您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以创建适用于 CodeCatalyst 部署操作的 IAM 角色以用于 Lambda 部署。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 Lambda 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:UpdateAlias",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig",
                "sns:Publish"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": "arn:aws:lambda:::function:CodeDeployHook_*",
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

适用于 Lambda 的 CodeCatalyst 部署角色

对于 CodeCatalyst 工作流操作，您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以创建具有必要权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 Lambda 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:UpdateAlias",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig",
                "sns:Publish"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": "arn:aws:lambda:::function:CodeDeployHook_*",
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

适用于 AWS SAM 的 CodeCatalyst 部署角色

对于 CodeCatalyst 工作流操作，您可以使用默认 CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色，也可以创建具有必要权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 AWS SAM 和 AWS CloudFormation 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "iam:PassRole",
                "iam:DeleteRole",
                "iam:GetRole",
                "iam:TagRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
                "cloudformation:*",
                "lambda:*",
                "apigateway:*"
            ],
            "Resource": "*"
        }
    ]
}

"Resource": "*"

适用于 Amazon EC2 的 CodeCatalyst 只读角色

对于 CodeCatalyst 工作流操作，您可以创建具有所需权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 Amazon EC2 资源上运行任务。CodeCatalystWorkflowDevelopmentRole-spaceName 服务角色不包括 Amazon EC2 的权限或所描述的 Amazon CloudWatch 操作的权限。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:Describe",
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:Describe",
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:Describe"
            ],
            "Resource": "resource_ARN"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:Describe",
            "Resource": "resource_ARN"
        }
    ]
}

"Resource": "*"

适用于 Amazon ECS 的 CodeCatalyst 只读角色

对于 CodeCatalyst 工作流操作，您可以创建具有所需权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 Amazon ECS 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略：

*{*
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ecs:DescribeServices",
                "cloudwatch:DescribeAlarms"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
       {
            "Action": [
                "elasticloadbalancing:DescribeTargetGroups",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeRules"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
       {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam:::role/ecsTaskExecutionRole",
                "arn:aws:iam:::role/ECSTaskExecution"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

"Resource": "*"

适用于 Lambda 的 CodeCatalyst 只读角色

对于 CodeCatalyst 工作流操作，您可以创建具有所需权限的 IAM 角色。此角色使用具有范围限定的权限的策略，CodeCatalyst 需要这些权限才能在 AWS 账户中的 Lambda 资源上运行任务。

此角色授予执行以下操作所需的权限：

该角色使用以下策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "cloudwatch:DescribeAlarms",
                "lambda:GetAlias",
                "lambda:GetProvisionedConcurrencyConfig"
            ],
            "Resource": "resource_ARN",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::/CodeDeploy/",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/UseWithCodeDeploy": "true"
                }
            },
            "Effect": "Allow"
        }
    ]
}

"Resource": "*"

手动为工作流操作创建角色

CodeCatalyst 工作流操作使用您创建的 IAM 角色，这些角色分别称作构建角色、部署角色和堆栈角色。

按以下步骤操作，在 IAM 中创建这些角色。

使用 AWS CloudFormation 在 IAM 中创建策略和角色

您可以选择创建和使用 AWS CloudFormation 模板来创建策略和角色，需要这些策略和角色才能在 AWS 账户中访问 CodeCatalyst 项目和工作流的资源。AWS CloudFormation 是一项服务，可帮助您对 AWS 资源进行建模和设置，使您能够减少管理这些资源所花费的时间，同时将更多的时间花在 AWS 上运行的应用程序上。如果您打算在多个 AWS 账户中创建角色，则创建模板有助于您更快地完成此任务。

以下示例模板创建了部署操作角色和策略。

Parameters:
  CodeCatalystAccountId:
    Type: String
    Description: Account ID from the connections page
  ExternalId:
    Type: String
    Description: External ID from the connections page
Resources:
  CrossAccountRole:
    Type: 'AWS::IAM::Role'
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - !Ref CodeCatalystAccountId
            Action:
              - 'sts:AssumeRole'
            Condition:
              StringEquals:
                sts:ExternalId: !Ref ExternalId
      Path: /
      Policies:
        - PolicyName: CodeCatalyst-CloudFormation-action-policy
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action:
                  - 'cloudformation:CreateStack'
                  - 'cloudformation:DeleteStack'
                  - 'cloudformation:Describe*'
                  - 'cloudformation:UpdateStack'
                  - 'cloudformation:CreateChangeSet'
                  - 'cloudformation:DeleteChangeSet'
                  - 'cloudformation:ExecuteChangeSet'
                  - 'cloudformation:SetStackPolicy'
                  - 'cloudformation:ValidateTemplate'
                  - 'cloudformation:List*'
                  - 'iam:PassRole'
                Resource: '*'

手动为 Web 应用程序蓝图创建角色

CodeCatalyst Web 应用程序蓝图使用您创建的 IAM 角色，这些角色分别称作适用于 CDK 的构建角色、部署角色和堆栈角色。

按以下步骤操作，在 IAM 中创建角色。

手动为 SAM 蓝图创建角色

CodeCatalyst SAM 蓝图使用您创建的 IAM 角色，它们分别称作适用于 CloudFormation 的构建角色和适用于 SAM 的部署角色。

按以下步骤操作，在 IAM 中创建这些角色。