AWS CodeCommit 不再向新客户提供。 AWS CodeCommit 的现有客户可以继续正常使用该服务。了解更多

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS CodeCommit的身份验证和访问控制

访问 AWS CodeCommit 需要凭证。这些证书必须具有访问 AWS 资源（例如 CodeCommit 存储库）和您的IAM用户的权限，您使用这些资源来管理您的 Git 凭证或用于建立 Git 连接的SSH公钥。以下各节详细介绍了如何使用 AWS Identity and Access Management (IAM) 以及 CodeCommit 如何帮助保护对资源的访问：

身份验证

由于 CodeCommit 存储库基于 Git 且支持 Git 的基本功能（包括 Git 凭据），因此我们建议您在使用时使用IAM用户。 CodeCommit您可以使用其他身份类型 CodeCommit 进行访问，但其他身份类型会受到限制，如下所述。

身份类型：

访问控制

您可以拥有有效的凭证来验证您的请求，但是除非您拥有权限，否则您无法创建或访问 CodeCommit 资源。例如，您必须拥有权限才能查看存储库、推送代码、创建和管理 Git 凭证等。

以下各节介绍如何管理的权限 CodeCommit。我们建议您先阅读概述。

管理 CodeCommit 资源访问权限概述

每个 AWS 资源都归亚马逊云科技账户所有。创建或访问资源的权限由权限策略进行管理。账户管理员可以将权限策略附加到IAM身份（即用户、群组和角色）。某些服务（例如） AWS Lambda还支持将权限策略附加到资源。

在授予权限时，您确定谁获得权限、获得对哪些资源的权限以及允许对这些资源执行的具体操作。

CodeCommit 资源和运营

在中 CodeCommit，主要资源是存储库。每个资源都有一个与之关联的唯一的 Amazon 资源名称 (ARN)。在策略中，您可以使用 Amazon 资源名称 (ARN) 来标识该政策适用的资源。有关更多信息ARNs，请参阅中的 Amazon 资源名称 (ARN) 和 AWS 服务命名空间。Amazon Web Services 一般参考 CodeCommit 目前不支持其他资源类型，这些资源类型被称为子资源。

下表描述了如何指定 CodeCommit 资源。

例如，你可以指定一个特定的存储库 (MyDemoRepo) 在你的陈述中使用它ARN如下：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:MyDemoRepo"

要指定属于某一特定账户的所有存储库，请使用通配符 (*)，如下所示：

"Resource": "arn:aws:codecommit:us-west-2:111111111111:*"

要指定所有资源，或者如果特定API操作不支持ARNs，请在Resource元素中使用通配符 (*)，如下所示：

"Resource": "*"

您还可以使用通配符 (*) 指定与某一存储库名称部分匹配的所有资源。例如，以下内容ARN指定了名称以该名称开头MyDemo且注册到 Amazon Web Services 账户111111111111的所有 CodeCommit存储库 us-east-2 AWS 区域：

arn:aws:codecommit:us-east-2:111111111111:MyDemo*

有关与 CodeCommit 资源配合使用的可用操作的列表，请参阅CodeCommit 权限参考。

了解资源所有权

Amazon Web Services 账户拥有在该账户中创建的资源，无论这些资源由谁创建。具体而言，资源所有者是对资源创建请求进行身份验证的委托人实体（即根账户、IAM用户或IAM角色）的 Amazon Web Services 账户。以下示例说明了它的工作原理：

管理对 资源的访问

要管理对 AWS 资源的访问权限，您可以使用权限策略。权限策略规定谁可以访问哪些内容。下一节介绍权限策略创建选项。

附加到身份的权限策略称为基于IAM身份的策略（IAM策略）。附加到资源的权限策略称作基于资源的策略。目前，仅 CodeCommit支持基于身份的策略（IAM策略）。

基于身份的策略（策略）IAM

要管理对 AWS 资源的访问权限，您可以将权限策略附加到IAM身份。在中 CodeCommit，您可以使用基于身份的策略来控制对存储库的访问权限。例如，您可以执行以下操作：

以下示例策略允许用户在名为的存储库中创建分支 MyDemoRepo:

{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codecommit:CreateBranch"
      ],
      "Resource" : "arn:aws:codecommit:us-east-2:111111111111:MyDemoRepo"
    }
  ]
}

要限制您账户中用户有权访问的呼叫和资源，请创建特定IAM策略，然后将这些策略附加给IAM用户。有关如何创建IAM角色和浏览IAM策略声明示例的更多信息 CodeCommit，请参阅客户管理型身份策略示例。

基于资源的策略

一些服务（如 Amazon S3）支持基于资源的权限策略。例如，您可以将基于资源的策略附加到 S3 存储桶，以管理对该存储桶的访问权限。 CodeCommit 不支持基于资源的策略，但您可以使用标签来识别资源，然后可以在IAM策略中使用这些资源。有关基于标签的策略示例，请参阅基于身份的策略（策略）IAM。

资源范围界定在 CodeCommit

在中 CodeCommit，您可以将基于身份的策略和权限限定为资源的范围，如中所述。CodeCommit 资源和运营但是，不能将 ListRepositories 权限的范围限定为某一资源，而必须将其范围设置为所有资源 (使用通配符 *)。否则，该操作将会失败。

所有其他 CodeCommit 权限都可以限定为资源。

指定策略元素：资源、操作、效果和委托方

您可以创建策略来允许或拒绝用户访问资源，或者允许或拒绝用户对这些资源采取特定操作。 CodeCommit 定义了一组公共API操作，用于定义用户如何使用服务，无论是通过 CodeCommit 控制台、SDKs、还是直接调用这些操作APIs。 AWS CLI要授予这些API操作的权限，请 CodeCommit 定义一组可以在策略中指定的操作。

某些API操作可能需要多个操作的权限。有关资源和API操作的更多信息，请参阅CodeCommit 资源和运营和CodeCommit 权限参考。

下面是基本的策略元素：

要了解有关IAM策略语法的更多信息，请参阅IAM用户指南中的IAM策略参考。

有关显示所有 CodeCommit API操作及其适用的资源的表格，请参阅CodeCommit 权限参考。

在策略中指定条件

授予权限时，您可以使用的访问策略语言IAM来指定策略应在哪些条件下生效。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅《IAM用户指南》中的条件和策略语法。

要表示条件，您可以使用预定义的条件键。没有特定于的条件键 CodeCommit。但是，您可以根据需要使用 AWS范围内的条件键。有关 AWS范围密钥的完整列表，请参阅《IAM用户指南》中的条件可用密钥。