本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

的身份验证和访问控制 AWS CodeCommit

访问 AWS CodeCommit 需要证书。这些证书必须具有访问 AWS 资源的权限，例如 CodeCommit 存储库和您的 IAM 用户，您可以使用这些权限来管理您的 Git 证书或用于建立 Git 连接的 SSH 公钥。以下部分详细介绍了如何使用 AWS Identity and Access Management (IAM) 以及 CodeCommit 如何帮助保护对资源的访问：

身份验证

由于 CodeCommit 存储库支持包括 Git-based Git 凭证在内的基本功能，因此我们建议您在使用时使用 IAM 用户 CodeCommit。您可以使用其他身份类型 CodeCommit 进行访问，但其他身份类型受到限制，如下所述。

身份类型：

访问控制

您可以拥有有效的凭证来验证您的请求，但是除非您有权限，否则您无法创建或访问 CodeCommit 资源。例如，您必须拥有权限才能查看存储库、推送代码、创建和管理 Git 凭证等。

以下部分介绍如何管理的权限 CodeCommit。我们建议您先阅读概述。

管理 CodeCommit 资源访问权限概述

每个 AWS 资源都归亚马逊网络服务账户所有。创建或访问资源的权限由权限策略进行管理。账户管理员可以向 IAM 身份（即：用户、组和角色）附加权限策略。某些服务（例如 AWS Lambda）还支持将权限策略附加到资源。

在授予权限时，您确定谁获得权限、获得对哪些资源的权限以及允许对这些资源执行的具体操作。

CodeCommit 资源和运营

在中 CodeCommit，主要资源是存储库。每种资源均有相关联的唯一 Amazon 资源名称（ARN）。在策略中，您可以使用 Amazon 资源名称（ARN）标识策略应用到的资源。有关 ARN 的更多信息，请参阅中的亚马逊资源名称 (ARN) 和 AWS 服务命名空间。Amazon Web Services 一般参考 CodeCommit 目前不支持其他资源类型，这些资源类型被称为子资源。

下表描述了如何指定 CodeCommit 资源。

例如，您可以使用特定存储库 (MyDemoRepo) 的 ARN 在语句中指定它，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:MyDemoRepo"

要指定属于某一特定账户的所有存储库，请使用通配符 (*)，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:*"

要指定所有资源，或者，如果特定 API 操作不支持 ARN，请在 Resource 元素中使用通配符（*），如下所示：

"Resource": "*"

您还可以使用通配符（*）指定与某一存储库名称部分匹配的所有资源。例如，以下 ARN 指定了任何以名称开头MyDemo且注册到亚马逊网络服务账户111111111111的 CodeCommitus-east-2 AWS 区域存储库：

arn:aws:codecommit:us-east-2:111111111111:MyDemo*

有关与 CodeCommit 资源一起使用的可用操作的列表，请参阅CodeCommit 权限参考。

了解资源所有权

Amazon Web Services 账户拥有在该账户中创建的资源，无论这些资源由谁创建。具体来说，资源所有者是验证资源创建请求的主体实体（即根账户、IAM 用户或 IAM 角色）的 Amazon Web Services 账户。以下示例说明了它的工作原理：

管理对 资源的访问

要管理对 AWS 资源的访问权限，可以使用权限策略。权限策略规定谁可以访问哪些内容。下一节介绍权限策略创建选项。

附加到 IAM 身份的权限策略称作基于身份的策略（IAM policy）。附加到资源的权限策略称作基于资源的策略。目前，仅 CodeCommit支持基于身份的策略（IAM 策略）。

Identity-based 策略（IAM 策略）

要管理对 AWS 资源的访问权限，您需要向 IAM 身份附加权限策略。在中 CodeCommit，您可以使用基于身份的策略来控制对仓库的访问权限。例如，您可以执行以下操作：

以下示例策略允许用户在名为 MyDemoRepo 的存储库中创建一个分支：

JSON

{
  "Version":"2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codecommit:CreateBranch"
      ],
      "Resource" : "arn:aws:codecommit:us-east-2:111122223333:MyDemoRepo"
    }
  ]
}

要限制账户中的用户有权访问的调用和资源，可以创建特定的 IAM policy，然后将这些策略附加到 IAM 用户。有关如何创建 IAM 角色和浏览的 IAM 政策声明示例的更多信息 CodeCommit，请参阅客户管理型身份策略示例。

Resource-based 政策

一些服务（如 Amazon S3）支持基于资源的权限策略。例如，您可以将基于资源的策略附加到 S3 存储桶，以管理对该存储桶的访问权限。 CodeCommit 不支持基于资源的策略，但您可以使用标签来识别资源，然后可以在 IAM 策略中使用这些资源。有关基于标签的策略示例，请参阅Identity-based 策略（IAM 策略）。

中的资源范围界定 CodeCommit

在中 CodeCommit，您可以将基于身份的策略和权限范围限定为资源，如中所述。CodeCommit 资源和运营但是，不能将 ListRepositories 权限的范围限定为某一资源，而必须将其范围设置为所有资源 (使用通配符 *)。否则，该操作将会失败。

所有其他 CodeCommit 权限都可以限定为资源。

指定策略元素：资源、操作、效果和委托方

您可以创建策略来允许或拒绝用户访问资源，或者允许或拒绝用户对这些资源采取特定操作。 CodeCommit 定义了一组公共 API 操作，这些操作定义了用户如何使用服务，无论是通过 CodeCommit 控制台、软件开发工具包、还是直接调用这些 API。 AWS CLI要授予这些 API 操作的权限，请 CodeCommit 定义一组可以在策略中指定的操作。

某些 API 操作可能需要执行多个操作的权限。有关资源和 API 操作的更多信息，请参阅 CodeCommit 资源和运营 和 CodeCommit 权限参考。

下面是基本的策略元素：

有关 IAM policy 语法的更多信息，请参阅《IAM 用户指南》中的 IAM policy 参考。

有关显示所有 CodeCommit API 操作及其适用的资源的表格，请参阅CodeCommit 权限参考。

在策略中指定条件

授予权限时，可以使用 IAM 的访问策略语言指定策略生效的条件。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅《IAM 用户指南》中的条件和策略语法。

要表示条件，您可以使用预定义的条件键。没有特定于 CodeCommit 的条件键。但是，您可以根据需要使用 AWS-wide条件键。有关全 AWS域密钥的完整列表，请参阅 IAM 用户指南中的可用条件密钥。