在中 CodePipeline 创建一个使用来自另一个管道的资源 AWS 账户

使用登录 AWS 管理控制台 AccountA并打开 AWS KMS 控制台。

在左侧，选择 客户管理的密钥。

选择创建密钥。在配置密钥中，保留默认选中的对称，然后选择下一步。

在别名中，输入用于此密钥的别名（例如，PipelineName-Key）。（可选）提供有关该密钥的描述和标签，然后选择下一步。

在定义密钥管理权限中，选择您希望作为该密钥管理员的一个或多个角色，然后选择下一步。

在 “定义密钥使用权限” 中的 “此帐户” 下，选择管道的服务角色的名称（例如， CodePipeline_Service_Role）。在 “其他 AWS 帐户” 下，选择 “添加其他 AWS 帐户” 。输入的账户 ID AccountB 以完成 ARN，然后选择 “下一步”。

在审核和编辑密钥策略中审核策略，然后选择完成。

从密钥列表中选择密钥的别名并复制其 ARN（例如 arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE）。在您编辑您的管道和配置策略时将会需要此密钥。

AWS 管理控制台 使用登录AccountA并打开 Amazon S3 控制台，网址为https://console.aws.amazon.com/s3/。

在 Amazon S3 桶列表中，选择用于存储您的管道构件的 Amazon S3 桶。此存储桶命名codepipeline-region-1234567EXAMPLE，其中region是您创建管道的 AWS 区域，1234567EXAMPLE是一个十位数的随机数，可确保存储桶名称是唯一的（例如，codepipeline-us-east-2-1234567890）。

在 Amazon S3 桶的详细信息页面上，选择属性。

在属性窗格中，展开 Permissions，然后选择 Add bucket policy。

在 Bucket Policy Editor 窗口中，创建一个策略，该策略将AccountB允许AccountB访问管道对象，并允许在某个操作（例如自定义源或生成操作）创建输出对象时添加这些对象。

选择 Save，然后关闭策略编辑器。

选择保存以保存 Amazon S3 桶的权限。

AWS 管理控制台 使用登录AccountA并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在角色列表中的角色名称下，选择 CodePipeline 的服务角色的名称。

在权限选项卡上，选择添加内联策略。

选择 JSON 选项卡，然后输入以下策略AccountB以允许代入该角色。在以下示例中，ARN 012ID_ACCOUNT_B 是：AccountB

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

AWS 管理控制台 使用登录AccountB并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在角色列表的角色名称下，选择用作 CodeDeploy 应用程序的 Amazon EC2 实例角色的服务角色的名称。该角色名称可能不同，而且多个实例角色可以由一个部署组使用。有关更多信息，请参阅为 Amazon EC2 实例创建 IAM 实例配置文件。

在权限选项卡上，选择添加内联策略。

选择 JSON 选项卡，然后输入以下策略以授予访问用于存储管道对象的 AccountA Amazon S3 存储桶的访问权限（在本示例中，codepipeline-us-east-2-1234567890）：

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

创建第二个策略，说明客户管理密钥arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE的 ARN 在 AWS KMS 哪里，该密钥是在哪里创建AccountA并配置为AccountB允许使用的：

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

AWS 管理控制台 使用登录AccountB并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam。

在导航窗格中，选择角色。选择创建角色。

在选择受信任实体的类型下，选择其他 AWS 账户。在 “指定可以使用此角色的帐户” 下的 “账户 ID” 中 ，在 CodePipeline (AccountA) 中输入用于创建管道的账户的账户 ID，然后选择 “下一步：权限” 。 AWS

在 “附加权限策略” 下 AmazonS3ReadOnlyAccess，选择，然后选择 “下一步：标签” 。

选择下一步：审核。在角色名称中键入该角色的名称（例如，CrossAccount_Role）。您可以任意命名该角色，只要其遵循 IAM 中的命名约定即可。考虑为该角色使用一个明确指明其用途的名称。选择创建角色。

从角色列表中，选择您刚刚创建的角色（例如CrossAccount_Role）以打开该角色的摘要页面。

在权限选项卡上，选择添加内联策略。

选择 JSON 选项卡，然后输入以下策略以允许访问 CodeDeploy 资源：

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

在权限选项卡上，选择添加内联策略。

选择 JSON 选项卡，然后输入以下策略，以允许此角色从 Amazon S3 存储桶中检索输入项目，并将输出项目放入其中AccountA：

选择查看策略。

在 Name (名称) 中，输入此策略的名称。选择创建策略。

在 “权限” 选项卡上，AmazonS3ReadOnlyAccess在 “策略名称” 下的策略列表中查找，然后选择策略旁边的删除图标 (X)。系统提示时，选择 Detach。

选择信任关系选项卡，然后选择编辑信任策略。选择左侧栏中的添加主体选项。对于委托人类型，选择 IAM 角色，然后为中的 CodePipeline AccountA服务角色提供 ARN。从 AWS 主体列表中删除 arn:aws:iam::Account_A:root，然后选择更新策略。

在终端（Linux、macOS 或 Unix）或命令提示符 (Windows) 中，对您要添加资源的管道运行 get-pipeline 命令。将命令输出复制到 JSON 文件。例如，对于名为 MyFirstPipeline 的管道，您应键入类似以下的内容：

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

输出将会发送到 pipeline.json 文件。

在任何纯文本编辑器中打开 JSON 文件。进入工件存储后"type": "S3"，添加 KMS 加密密钥、ID 和类型信息，其中codepipeline-us-east-2-1234567890是用于存储管道对象的 Amazon S3 存储桶的名称，arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE也是您刚刚创建的客户管理密钥的 ARN：

{
  "artifactStore": {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

在阶段中添加部署操作以使用与之关联的 CodeDeploy 资源AccountB，包括您创建的跨账户角色的roleArn值 (CrossAccount_Role)。

以下示例显示了添加名为的部署操作的 JSON ExternalDeploy。它使用在名为的阶段AccountB中创建的 CodeDeploy 资源Staging。在以下示例中，的 ARN AccountB 是：012ID_ACCOUNT_B

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

您必须从文件中删除 metadata 行以便 update-pipeline 命令可以使用它。从 JSON 文件中的管道结构中删除该部分（"metadata": { } 行以及 "created"、"pipelineARN" 和 "updated" 字段）。

例如，从结构中删除以下各行：

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

保存该文件。

要应用更改，请运行 update-pipeline 命令并指定一个管道 JSON 文件，类似于以下内容：

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

该命令会返回编辑后的管道的整个结构。

在终端（Linux、macOS 或 Unix）或命令提示符 (Windows) 中，运行 start-pipeline-execution 命令，指定管道的名称，类似下面这样：

aws codepipeline start-pipeline-execution --name MyFirstPipeline

有关更多信息，请参阅 手动启动管道。

使用登录 AWS 管理控制台 AccountA并打开 CodePipeline控制台，地址为http://console.aws.amazon.com/codesuite/codepipeline/home。

将显示与您的 AWS 账户关联的所有管道的名称。

在名称中，选择您刚编辑的管道的名称。这将打开管道的详细视图，包括管道每个阶段中每个操作的状态。

观看管道中的进度。等待有关使用与其他 AWS 账户关联的资源的操作的成功消息。