本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS CodeStar 通知的身份和访问权限管理 AWS CodeConnections

AWS Identity and Access Management (IAM) AWS 服务 可以帮助管理员安全地控制对 AWS 资源的访问权限。IAM管理员控制谁可以进行身份验证（登录）和授权（拥有权限）使用 AWS CodeStar 通知和 AWS CodeConnections 资源。IAM无需支付额外费用即可使用。 AWS 服务

受众

使用 AWS Identity and Access Management (IAM) 的方式会有所不同，具体取决于你在 “ AWS CodeStar 通知” 和 “” 中所做的工作 AWS CodeConnections。

服务用户-如果您使用 AWS CodeStar 通知和 AWS CodeConnections 服务完成工作，则您的管理员会为您提供所需的凭证和权限。当你使用更多的 AWS CodeStar 通知和 AWS CodeConnections 功能来完成工作时，你可能需要额外的权限。了解如何管理访问权限有助于您向管理员请求适合的权限。如果您无法访问 AWS CodeStar 通知和中的某项功能 AWS CodeConnections，请参阅故障排除 AWS CodeStar 通知、 AWS CodeConnections身份和访问权限。

服务管理员 —如果您负责公司的 AWS CodeStar 通知和 AWS CodeConnections 资源, 您可能拥有对 AWS CodeStar 通知的完全访问权限和 AWS CodeConnections. 您的工作是确定您的服务用户应访问哪些 AWS CodeStar 通知、 AWS CodeConnections 功能和资源。然后，您必须向IAM管理员提交更改服务用户权限的请求。查看此页面上的信息以了解的基本概念IAM。要详细了解贵公司如何IAM使用 AWS CodeStar 通知和 AWS CodeConnections，请参阅开发者工具控制台中的功能是如何使用的 IAM。

IAM管理员-如果您是IAM管理员，则可能需要详细了解如何编写策略来管理对 AWS CodeStar 通知的访问权限，以及 AWS CodeConnections。要查看可在中使用的 AWS CodeStar 通知和 AWS CodeConnections 基于身份的策略示例IAM，请参阅。 基于身份的策略示例

使用身份进行身份验证

身份验证是您 AWS 使用身份凭证登录的方式。您必须以 AWS 账户根用户、IAM用户身份或通过担任IAM角色进行身份验证（登录 AWS）。

您可以使用通过身份源提供的凭据以 AWS 联合身份登录。 AWS IAM Identity Center （IAM身份中心）用户、贵公司的单点登录身份验证以及您的 Google 或 Facebook 凭据就是联合身份的示例。当您以联合身份登录时，您的管理员之前使用IAM角色设置了联合身份。当你使用联合访问 AWS 时，你就是在间接扮演一个角色。

根据您的用户类型，您可以登录 AWS Management Console 或 AWS 访问门户。有关登录的更多信息 AWS，请参阅《AWS 登录 用户指南》中的如何登录到您 AWS 账户的。

如果您 AWS 以编程方式访问，则会 AWS 提供软件开发套件 (SDK) 和命令行接口 (CLI)，以便使用您的凭据对请求进行加密签名。如果您不使用 AWS 工具，则必须自己签署请求。有关使用推荐的方法自行签署请求的更多信息，请参阅《IAM用户指南》中的对 AWS API请求进行签名。

无论使用何种身份验证方法，您可能需要提供其他安全信息。例如， AWS 建议您使用多重身份验证 (MFA) 来提高账户的安全性。要了解更多信息，请参阅用户指南中的多重身份验证和AWS IAM Identity Center 用户指南 AWS中的使用多因素身份验证 (MFA)。IAM

AWS 账户根用户

创建时 AWS 账户，首先要有一个登录身份，该身份可以完全访问账户中的所有资源 AWS 服务 和资源。此身份被称为 AWS 账户 root 用户，使用您创建账户时使用的电子邮件地址和密码登录即可访问该身份。强烈建议您不要使用根用户执行日常任务。保护好根用户凭证，并使用这些凭证来执行仅根用户可以执行的任务。有关需要您以 root 用户身份登录的任务的完整列表，请参阅《用户指南》中的 “需要根用户凭据的IAM任务”。

IAM 用户和组

IAM用户是您内部 AWS 账户 对个人或应用程序具有特定权限的身份。在可能的情况下，我们建议使用临时证书，而不是创建拥有密码和访问密钥等长期凭证的IAM用户。但是，如果您有需要IAM用户长期凭证的特定用例，我们建议您轮换访问密钥。有关更多信息，请参阅《IAM用户指南》中的定期轮换需要长期凭证的用例的访问密钥。

IAM群组是指定IAM用户集合的身份。您不能使用组的身份登录。您可以使用组来一次性为多个用户指定权限。如果有大量用户，使用组可以更轻松地管理用户权限。例如，您可以拥有一个名为的群组，IAMAdmins并授予该群组管理IAM资源的权限。

用户与角色不同。用户唯一地与某个人员或应用程序关联，而角色旨在让需要它的任何人代入。用户具有永久的长期凭证，而角色提供临时凭证。要了解更多信息，请参阅《IAM用户指南》中的何时创建IAM用户（而不是角色）。

IAM 角色

IAM角色是您内部具有特定权限 AWS 账户 的身份。它与IAM用户类似，但与特定人员无关。您可以通过切换IAM角色 AWS Management Console 来临时担任中的角色。您可以通过调用 AWS CLI 或 AWS API操作或使用自定义操作来代入角色URL。有关使用角色的方法的更多信息，请参阅《IAM用户指南》中的使用IAM角色。

IAM具有临时证书的角色在以下情况下很有用：

要了解是使用IAM角色还是使用IAM用户，请参阅《用户指南》中的何时创建IAM角色（而不是IAM用户）。

使用策略管理访问

您可以 AWS 通过创建策略并将其附加到 AWS 身份或资源来控制中的访问权限。策略是其中的一个对象 AWS ，当与身份或资源关联时，它会定义其权限。 AWS 在委托人（用户、root 用户或角色会话）发出请求时评估这些策略。策略中的权限确定是允许还是拒绝请求。大多数策略都以JSON文档的 AWS 形式存储在中。有关JSON策略文档结构和内容的更多信息，请参阅《IAM用户指南》中的JSON策略概述。

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。

默认情况下，用户和角色没有权限。要授予用户对其所需资源执行操作的权限，IAM管理员可以创建IAM策略。然后，管理员可以将IAM策略添加到角色中，用户可以代入角色。

IAM无论您使用何种方法执行操作，策略都会定义该操作的权限。例如，假设您有一个允许 iam:GetRole 操作的策略。拥有该策略的用户可以从 AWS Management Console AWS CLI、或获取角色信息 AWS API。

基于身份的策略

基于身份的策略是可以附加到身份（例如IAM用户、用户组或角色）的JSON权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅IAM用户指南中的创建IAM策略。

基于身份的策略可以进一步归类为内联策略或托管策略。内联策略直接嵌入单个用户、组或角色中。托管策略是独立的策略，您可以将其附加到中的多个用户、群组和角色 AWS 账户。托管策略包括 AWS 托管策略和客户托管策略。要了解如何在托管策略或内联策略之间进行选择，请参阅《IAM用户指南》中的在托管策略和内联策略之间进行选择。

AWS CodeConnections 权限参考

下表列出了每项 AWS CodeConnections API操作、您可以为其授予权限的相应操作以及用于授予权限的资源ARN格式。根据允许的操作范围将 AWS CodeConnections APIs它们分成表格API。在编写可以附加到身份的权限策略（基于IAM身份的策略）时，请参考它。

在创建权限策略时，可以在策略的 Action 字段中指定操作。您可以在策略Resource字段中将资源值指定为ARN，带或不带通配符 (*)。

要在连接策略中表达条件，可以使用此处描述的和 条件键 中列出的条件键。您也可以使用 AWS-wide 条件键。有关 AWS-wide 密钥的完整列表，请参阅《IAM用户指南》中的可用密钥。

要指定操作，请使用codeconnections前缀后接API操作名称（例如，codeconnections:ListConnections或codeconnections:CreateConnection。

使用通配符

要指定多个操作或资源，请在ARN中使用通配符 (*)。例如，codeconnections:*指定所有 AWS CodeConnections 动作并codeconnections:Get*指定以单词开头的所有 AWS CodeConnections 动作Get。以下示例授予对以 MyConnection 名称开头的所有资源的访问权限。

arn:aws:codeconnections:us-west-2:account-ID:connection/*

通配符只能用于 connection 下表中列出的资源。你不能将通配符用于 region 或者 account-id 资源的费用。有关通配符的更多信息，请参阅《IAM用户指南》中的IAM标识符。

用于管理连接的权限

被指定使用或查看、创建 AWS CLI 或SDK删除连接的角色或用户的权限应限制为以下内容。

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections

使用滚动条查看表的其余部分。

这些操作支持以下条件键：

用于管理主机的权限

被指定使用或查看、创建 AWS CLI 或SDK删除主机的角色或用户的权限应限制为以下内容。

codeconnections:CreateHost
codeconnections:DeleteHost
codeconnections:GetHost
codeconnections:ListHosts

使用滚动条查看表的其余部分。

这些操作支持以下条件键：

用于完成连接的权限

指定用于在控制台中管理连接的角色或用户，应具有在控制台中完成连接和创建安装所需的权限，这包括授权与提供程序握手和为要使用的连接创建安装。除了上述权限之外，还可以使用以下权限。

在执行基于浏览器的握手时，控制台使用以下IAM操作。ListInstallationTargets、GetInstallationUrl、StartOAuthHandshakeUpdateConnectionInstallation、和GetIndividualAccessToken是IAM策略权限。它们不是API行动。

codeconnections:GetIndividualAccessToken
codeconnections:GetInstallationUrl
codeconnections:ListInstallationTargets
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation

基于这一点，在控制台中使用、创建、更新或删除连接需要以下权限。

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken

使用滚动条查看表的其余部分。

这些操作支持以下条件键。

设置主机的权限

指定在控制台中管理连接的角色或用户应具有在控制台中设置主机所需的权限，包括向提供程序授权握手和安装主机应用程序。除了上述主机权限之外，还可以使用以下权限。

在执行基于浏览器的主机注册时，控制台使用以下IAM操作。 RegisterAppCode和StartAppRegistrationHandshake是IAM策略权限。它们不是API行动。

codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

基于这一点，在控制台中使用、创建、更新或删除需要主机的连接需要以下权限（例如已安装的提供程序类型）。

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken
codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

使用滚动条查看表的其余部分。

这些操作支持以下条件键。

将连接传递到服务

将连接传递给服务时（例如，在管道定义中提供ARN用于创建或更新管道的连接时），用户必须拥有该codeconnections:PassConnection权限。

使用滚动条查看表的其余部分。

此操作还支持以下条件键：

使用连接

当诸如此类的服务 CodePipeline 使用连接时，该服务角色必须具有对给定连接的codeconnections:UseConnection权限。

要在控制台中管理连接，用户策略必须具有 codeconnections:UseConnection 权限。

使用滚动条查看表的其余部分。

此操作还支持以下条件键：

某个功能所需的条件键可能会随着时间的推移而更改。建议使用 codeconnections:UseConnection 来控制对连接的访问，除非您的访问控制需求不同的权限。

对于 ProviderAction 支持的访问类型

当 AWS 服务使用连接时，会导致对您的源代码提供商进行API调用。例如，一项服务可以通过调用 Bitbucket 连接列出存储库。https://api.bitbucket.org/2.0/repositories/username API

ProviderAction条件键允许您限制在提供商APIs上可以调用哪个。由于API路径可能是动态生成的，并且路径因提供者而异，因此该ProviderAction值会映射到抽象的操作名称，而不是URL的名称API。这允许您编写具有相同效果的策略，无论连接的提供程序类型如何。

以下是授予每个受支持的 ProviderAction 值的访问类型。以下是IAM策略权限。它们不是API行动。

使用滚动条查看表的其余部分。

标记连接资源支持的权限

标记连接资源时使用以下IAM操作。

codeconnections:ListTagsForResource
codeconnections:TagResource
codeconnections:UntagResource

使用滚动条查看表的其余部分。

将连接传递到存储库链接

在同步配置中提供存储库链接时，用户必须拥有存储库链接 /resource 的codeconnections:PassRepository权限。ARN

使用滚动条查看表的其余部分。

此操作还支持以下条件键：

存储库链接支持的条件键

以下条件键支持对存储库链接和同步配置资源的操作：

使用控制台中的通知和连接

通知体验内置于 CodeBuild、 CodeCommit CodeDeploy、和 CodePipeline控制台中，以及开发者工具控制台的 “设置” 导航栏本身。要访问控制台中的通知，您必须为这些服务应用其中一项托管策略，或者必须具有一组最低权限。这些权限必须允许您列出和查看有关您 AWS 账户中的 AWS CodeStar 通知和 AWS CodeConnections 资源的详细信息。如果您创建的基于身份的策略比所需的最低权限更严格，则控制台将无法按预期运行，适用于使用该策略的实体（IAM用户或角色）。有关授予 AWS CodeBuild、 AWS CodeCommit AWS CodeDeploy AWS CodePipeline、和访问权限（包括对这些控制台的访问权限）的更多信息，请参阅以下主题：

AWS CodeStar 通知没有任何 AWS 托管策略。为了提供对通知功能的访问权限，您必须为前面列出的其中一项服务应用某种托管策略，或者您必须创建具有要授予用户或实体的权限级别的策略，然后将这些策略附加到需要这些权限的用户、组或角色。有关更多信息和示例，请参阅以下：

AWS CodeConnections 没有任何 AWS 托管策略。您可以使用权限和访问权限组合，例如，用于完成连接的权限中详细叙述的权限。

有关更多信息，请参阅下列内容：

您无需为仅拨打 AWS CLI 或的用户授予控制台权限 AWS API。相反，只允许访问与你正在尝试执行的API操作相匹配的操作。

允许用户查看他们自己的权限

此示例说明如何创建允许IAM用户查看附加到其用户身份的内联和托管策略的策略。此策略包括在控制台上或使用或以编程方式完成此操作的 AWS CLI 权限。 AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}