本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 安全 in AWS CodeDeploy 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[‬共同責任模型‭](https://aws.amazon.com/compliance/shared-responsibility-model/)‬ 將此描述為雲端*‬的‭*‬安全和雲端*‬內*‬的安全： + **雲端的安全性** – AWS 負責保護在 AWS Cloud 中執行 AWS 服務的基礎設施。 AWS 也為您提供可安全使用的服務。在 [AWS 合規計畫](https://aws.amazon.com/compliance/programs/)中，第三方稽核員會定期測試並驗證我們的安全功效。若要了解適用於 AWS CodeDeploy 的合規計劃，請參閱[AWS 合規計劃範圍內的服務](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 CodeDeploy 時套用共同責任模型。下列主題說明如何設定 CodeDeploy 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 CodeDeploy 資源。 **Topics** + [資料保護 in AWS CodeDeploy](data-protection.md) + [的身分和存取管理 AWS CodeDeploy](security-iam.md) + [在 CodeDeploy 中記錄和監控](incident-response.md) + [AWS CodeDeploy 的合規驗證](compliance-validation.md) + [彈性 in AWS CodeDeploy](disaster-recovery-resiliency.md) + [AWS CodeDeploy 中的基礎設施安全](infrastructure-security.md) # 資料保護 in AWS CodeDeploy AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 AWS CodeDeploy 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 CodeDeploy 或使用主控台、API AWS CLI或 AWS SDKs的其他 AWS 服務 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 ## 網際網路流量隱私權 CodeDeploy 是一種全受管部署服務，支援 EC2 執行個體、Lambda 函數、Amazon ECS 和內部部署伺服器。對於 EC2 執行個體和內部部署伺服器，主機型代理程式會使用 TLS 與 CodeDeploy 通訊。 目前，從代理程式到服務的通訊需要傳出網際網路連線，以便代理程式可以與公有 CodeDeploy 和 Amazon S3 服務端點通訊。在虛擬私有雲端中，您可以透過網際網路閘道、公司網路的站台對站台 VPN 連接，或直接連線來完成這項工作。 CodeDeploy 代理程式支援 HTTP 代理。 Amazon VPC 端點採用 技術 AWS PrivateLink，適用於特定區域的 CodeDeploy。如需詳細資訊，請參閱[搭配 Amazon Virtual Private Cloud 使用 CodeDeploy](vpc-endpoints.md)。 **注意** 只有在您部署到 Amazon EC2/內部部署運算平台時，才需要 CodeDeploy 代理程式。使用 Amazon ECS 或 AWS Lambda 運算平台的部署不需要代理程式。 ## 靜態加密 客戶代碼不會儲存在 CodeDeploy 中。CodeDeploy 是部署服務，會將命令傳送至 EC2 執行個體或內部部署伺服器上執行的 CodeDeploy 代理程式。CodeDeploy 代理程式接著會使用 TLS 執行命令。部署、部署組態、部署群組、應用程式和應用程式修訂版的服務模型資料存放在 Amazon DynamoDB 中 AWS 擁有的金鑰，並使用 CodeDeploy 擁有和管理的 進行靜態加密。如需詳細資訊，請參閱 [AWS 擁有的金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-owned-cmk)。 ## 傳輸中加密 CodeDeploy 代理程式會透過連接埠 443 啟動與 CodeDeploy 的所有通訊。代理程式輪詢 CodeDeploy 並接聽命令。CodeDeploy 代理程式是開放原始碼。所有服務對服務以及用戶端對服務的通訊在傳輸過程中都會使用 TLS 加密。這可保護 CodeDeploy 與其他 Amazon S3 等服務之間傳輸中的客戶資料。 ## 加密金鑰管理 沒有您要管理的加密金鑰。CodeDeploy 服務模型資料會使用 CodeDeploy 擁有和管理的 AWS 擁有的金鑰進行加密。如需詳細資訊，請參閱 [AWS 擁有的金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-owned-cmk)。 # 的身分和存取管理 AWS CodeDeploy AWS Identity and Access Management (IAM) 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 CodeDeploy 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [AWS CodeDeploy 如何使用 IAM](security_iam_service-with-iam.md) + [AWS CodeDeploy 的受管 （預先定義） 政策](managed-policies.md) + [AWS 受管政策的 CodeDeploy 更新](managed-policies-updates.md) + [AWS CodeDeploy 身分型政策範例](security_iam_id-based-policy-examples.md) + [對 AWS CodeDeploy 身分和存取進行故障診斷](security_iam_troubleshoot.md) + [CodeDeploy 許可參考](auth-and-access-control-permissions-reference.md) + [預防跨服務混淆代理人](security_confused_deputy.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS CodeDeploy 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS CodeDeploy 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [AWS CodeDeploy 身分型政策範例](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過 AWS 建立政策並將其連接到身分或資源來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS CodeDeploy 如何使用 IAM 使用 IAM 管理 CodeDeploy 的存取權之前，您應該了解哪些 IAM 功能可與 CodeDeploy 搭配使用。如需詳細資訊，請參閱《[AWS IAM 使用者指南》中的使用 IAM 的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** **Topics** + [CodeDeploy 身分型政策](#security_iam_service-with-iam-id-based-policies) + [CodeDeploy 資源型政策](#security_iam_service-with-iam-resource-based-policies) + [以 CodeDeploy 標籤為基礎的授權](#security_iam_service-with-iam-tags) + [CodeDeploy IAM 角色](#security_iam_service-with-iam-roles) ## CodeDeploy 身分型政策 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。CodeDeploy 支援動作、資源和條件索引鍵。如需有關您在 JSON 政策中使用的元素的資訊，請參閱《[IAM 使用者指南》中的 IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ** ### 動作 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 CodeDeploy 中的政策動作在動作之前使用 `codedeploy:`字首。例如，`codedeploy:GetApplication` 許可授予使用者執行 `GetApplication` 操作的許可。政策陳述式必須包含 `Action` 或 `NotAction` 元素。CodeDeploy 會定義自己的一組動作，描述您可以使用此服務執行的任務。 若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示： ``` "Action": [ "codedeploy:action1", "codedeploy:action2" ``` 您也可以使用萬用字元 (\$1) 來指定多個動作。例如，包含以下動作以指定開頭是文字 `Describe` 的所有動作： ``` "Action": "ec2:Describe*" ``` 如需 CodeDeploy 動作的清單，請參閱《*IAM 使用者指南*》中的 [定義的動作 AWS CodeDeploy](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscodedeploy.html#awscodedeploy-actions-as-permissions)。 如需列出所有 CodeDeploy API 動作及其適用的資源的資料表，請參閱 [CodeDeploy 許可參考](auth-and-access-control-permissions-reference.md)。 ### Resources 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 例如，您可以在您的陳述式中使用它的 ARN 指出部署群組(*myDeploymentGroup*)，如下所示： ``` "Resource": "arn:aws:codedeploy:us-west-2:123456789012:deploymentgroup:myApplication/myDeploymentGroup" ``` 您也可以使用萬用字元 (\$1) 指定屬於帳戶的所有部署群組，如下所示： ``` "Resource": "arn:aws:codedeploy:us-west-2:123456789012:deploymentgroup:*" ``` 若要指定所有資源，或如果 API 動作不支援 ARN，請在 `Resource` 元素中使用萬用字元 (\$1)，如下所示： ``` "Resource": "*" ``` 有些 CodeDeploy API 動作接受多個資源 （例如 `BatchGetDeploymentGroups`)。若要在單一陳述式中指定多個資源，請用逗號分隔他們的 ARN，如下所示： ``` "Resource": ["arn1", "arn2"] ``` CodeDeploy 提供一組操作，以使用 CodeDeploy 資源。如需可用操作的清單，請參閱 [CodeDeploy 許可參考](auth-and-access-control-permissions-reference.md)。 如需 CodeDeploy 資源類型及其 ARNs 的清單，請參閱《*IAM 使用者指南*》中的 [定義的資源 AWS CodeDeploy](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscodedeploy.html)。如需您可以在其中指定每個資源 ARN 之動作的相關資訊，請參閱[動作定義者 AWS CodeDeploy](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscodedeploy.html#awscodedeploy-actions-as-permissions)。 #### CodeDeploy 資源和操作 在 CodeDeploy 中，主要資源是部署群組。在政策中，您使用 Amazon Resource Name (ARN) 來識別要套用政策的資源。CodeDeploy 支援可與部署群組搭配使用的其他資源，包括應用程式、部署組態和執行個體。這些資源稱為「子資源」。這些資源和子資源各與唯一的 ARN 相關聯。如需詳細資訊，請參閱 中的 [Amazon 資源名稱 (ARNs)](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)*Amazon Web Services 一般參考*。 | Resource Type (資源類型) | ARN 格式 | | --- | --- | | 部署群組 | `arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name` | | 應用程式 | `arn:aws:codedeploy:region:account-id:application:application-name` | | Deployment configuration (部署組態) | `arn:aws:codedeploy:region:account-id:deploymentconfig:deployment-configuration-name` | | 執行個體 | `arn:aws:codedeploy:region:account-id:instance/instance-ID` | | 所有 CodeDeploy 資源 | `arn:aws:codedeploy:*` | | 指定區域中指定帳戶擁有的所有 CodeDeploy 資源 | `arn:aws:codedeploy:region:account-id:*` | **注意** 中的大多數服務 AWS 會將冒號 (：) 或正斜線 (/) 視為 ARNs中的相同字元。不過，CodeDeploy 在資源模式和規則中使用完全相符的項目。在建立事件模式時，請務必使用正確的 ARN 字元，使這些字元符合資源中的 ARN 語法。 ### 條件索引鍵 CodeDeploy 不提供任何服務特定的條件金鑰，但支援使用某些全域條件金鑰。如需詳細資訊，請參閱《IAM 使用者指南》**中的[AWS 全域條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 ### 範例 若要檢視 CodeDeploy 身分型政策的範例，請參閱 [AWS CodeDeploy 身分型政策範例](security_iam_id-based-policy-examples.md)。 ## CodeDeploy 資源型政策 CodeDeploy 不支援以資源為基礎的政策。若要檢視詳細資源型政策頁面的範例，請參閱[使用資源型政策 AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/access-control-resource-based.html)。 ## 以 CodeDeploy 標籤為基礎的授權 CodeDeploy 不支援標記資源或根據標籤控制存取。 ## CodeDeploy IAM 角色 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。 ### 搭配 CodeDeploy 使用臨時登入資料 您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。 CodeDeploy 支援使用臨時登入資料。 ### 服務連結角色 CodeDeploy 不支援服務連結角色。 ### 服務角色 此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的帳戶中 AWS ，並由該帳戶擁有。這表示使用者可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。 CodeDeploy 支援服務角色。 ### 在 CodeDeploy 中選擇 IAM 角色 當您在 CodeDeploy 中建立部署群組資源時，您必須選擇角色，以允許 CodeDeploy 代表您存取 Amazon EC2。如果您先前已建立服務角色或服務連結角色，CodeDeploy 會為您提供可供選擇的角色清單。請務必選擇允許存取啟動和停止 EC2 執行個體的角色。 # AWS CodeDeploy 的受管 （預先定義） 政策 AWS 提供由 建立和管理的獨立 IAM 政策，以解決許多常見的使用案例 AWS。這些 AWS受管政策會授予常見使用案例的許可，因此您可以避免調查需要哪些許可。如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 **Topics** + [CodeDeploy 的 AWS 受管政策清單](#managed-policies-list) + [CodeDeploy 受管政策和通知](#notifications-permissions) ## CodeDeploy 的 AWS 受管政策清單 下列 AWS 受管政策是 CodeDeploy 特有的，您可以連接到您帳戶中的使用者： + `AWSCodeDeployFullAccess`：授予 CodeDeploy 的完整存取權。 **注意** AWSCodeDeployFullAccess 不會為部署應用程式所需的其他服務中的操作提供許可，例如 Amazon EC2 和 Amazon S3，僅適用於 CodeDeploy 特定的操作。 + `AWSCodeDeployDeployerAccess`：授予註冊和部署修訂的許可。   + `AWSCodeDeployReadOnlyAccess`：授予 CodeDeploy 的唯讀存取權。   + `AWSCodeDeployRole`：允許 CodeDeploy： + 讀取執行個體上的標籤，或依 Amazon EC2 Auto Scaling 群組名稱識別 Amazon EC2 執行個體 + 讀取、建立、更新和刪除 Amazon EC2 Auto Scaling 群組、生命週期關聯、擴展政策和暖集區功能 + 發佈資訊至 Amazon SNS 主題 + 擷取 Amazon CloudWatch 警示的相關資訊 + 讀取和更新 Elastic Load Balancing 服務中的資源 政策包含下列程式碼： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "autoscaling:CompleteLifecycleAction", "autoscaling:DeleteLifecycleHook", "autoscaling:DescribeAutoScalingGroups", "autoscaling:DescribeLifecycleHooks", "autoscaling:PutLifecycleHook", "autoscaling:RecordLifecycleActionHeartbeat", "autoscaling:CreateAutoScalingGroup", "autoscaling:CreateOrUpdateTags", "autoscaling:UpdateAutoScalingGroup", "autoscaling:EnableMetricsCollection", "autoscaling:DescribePolicies", "autoscaling:DescribeScheduledActions", "autoscaling:DescribeNotificationConfigurations", "autoscaling:SuspendProcesses", "autoscaling:ResumeProcesses", "autoscaling:AttachLoadBalancers", "autoscaling:AttachLoadBalancerTargetGroups", "autoscaling:PutScalingPolicy", "autoscaling:PutScheduledUpdateGroupAction", "autoscaling:PutNotificationConfiguration", "autoscaling:DescribeScalingActivities", "autoscaling:DeleteAutoScalingGroup", "autoscaling:PutWarmPool", "ec2:DescribeInstances", "ec2:DescribeInstanceStatus", "ec2:TerminateInstances", "tag:GetResources", "sns:Publish", "cloudwatch:DescribeAlarms", "cloudwatch:PutMetricAlarm", "elasticloadbalancing:DescribeLoadBalancers", "elasticloadbalancing:DescribeLoadBalancerAttributes", "elasticloadbalancing:DescribeInstanceHealth", "elasticloadbalancing:RegisterInstancesWithLoadBalancer", "elasticloadbalancing:DeregisterInstancesFromLoadBalancer", "elasticloadbalancing:DescribeTargetGroups", "elasticloadbalancing:DescribeTargetGroupAttributes", "elasticloadbalancing:DescribeTargetHealth", "elasticloadbalancing:RegisterTargets", "elasticloadbalancing:DeregisterTargets" ], "Resource": "*" } ] } ``` ------   + `AWSCodeDeployRoleForLambda`：授予 CodeDeploy 存取 AWS Lambda 和部署所需的任何其他資源的許可。   + `AWSCodeDeployRoleForECS`：授予 CodeDeploy 存取 Amazon ECS 和部署所需的任何其他資源的許可。   + `AWSCodeDeployRoleForECSLimited`：授予 CodeDeploy 存取 Amazon ECS 和部署所需的任何其他資源的許可，但以下情況除外： + 在 AppSpec 檔案的 `hooks`區段中，只能使用名稱開頭為 的 Lambda `CodeDeployHook_` 函數。如需詳細資訊，請參閱[Amazon ECS 部署的 AppSpec 'hooks' 區段](reference-appspec-file-structure-hooks.md#appspec-hooks-ecs)。 + S3 儲存貯體的存取權限制為具有註冊標籤 `UseWithCodeDeploy` 且值為 `true` 的 S3 儲存貯體。如需詳細資訊，請參閱[物件標記](https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-tagging.html)。 + `AmazonEC2RoleforAWSCodeDeployLimited`：授予 CodeDeploy 許可，以取得和列出 CodeDeploy Amazon S3 儲存貯體中的物件。政策包含下列程式碼： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetObjectVersion", "s3:ListBucket" ], "Resource": "arn:aws:s3:::*/CodeDeploy/*" }, { "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": "*", "Condition": { "StringEquals": { "s3:ExistingObjectTag/UseWithCodeDeploy": "true" } } } ] } ``` ------ 部署程序某些層面的許可會授予其他兩個代表 CodeDeploy 的角色類型： + *IAM 執行個體描述*檔是您連接到 Amazon EC2 執行個體的 IAM 角色。此設定檔包含存取存放應用程式之 Amazon S3 儲存貯體或 GitHub 儲存庫所需的許可。如需詳細資訊，請參閱[步驟 4：為您的 Amazon EC2 執行個體建立 IAM 執行個體描述檔](getting-started-create-iam-instance-profile.md)。 + *服務角色*是一種 IAM 角色，可授予 AWS 服務的許可，使其可以存取 AWS 資源。您連接到服務角色的政策會決定服務可存取哪些 AWS 資源，以及該服務可以對這些資源執行的動作。對於 CodeDeploy，服務角色用於下列項目： + 讀取套用至執行個體的標籤或與執行個體相關聯的 Amazon EC2 Auto Scaling 群組名稱。這可讓 CodeDeploy 識別可部署應用程式的執行個體。 + 在執行個體、Amazon EC2 Auto Scaling 群組和 Elastic Load Balancing 負載平衡器上執行操作。 + 將資訊發佈至 Amazon SNS 主題，以便在發生指定的部署或執行個體事件時傳送通知。 + 擷取 CloudWatch 警示的相關資訊，以設定部署的警示監控。 如需詳細資訊，請參閱[步驟 2：建立 CodeDeploy 的服務角色](getting-started-create-service-role.md)。 您也可以建立自訂 IAM 政策，以授予 CodeDeploy 動作和資源的許可。您可以將這些自訂政策連接至 IAM 角色，然後將角色指派給需要許可的使用者或群組。 ## CodeDeploy 受管政策和通知 CodeDeploy 支援通知，讓使用者了解部署的重要變更。CodeDeploy 的受管政策包含通知功能的政策陳述式。如需詳細資訊，請參閱[什麼是通知？](https://docs.aws.amazon.com/codestar-notifications/latest/userguide/welcome.html)。 ### 完整存取受管政策中通知的許可 `AWSCodeDeployFullAccess` 受管政策包含下列陳述式，允許對通知的完整存取權限。套用此受管政策的使用者也可以為通知建立和管理 Amazon SNS 主題、訂閱和取消訂閱使用者主題，以及列出要選擇做為通知規則目標的主題。 ``` { "Sid": "CodeStarNotificationsReadWriteAccess", "Effect": "Allow", "Action": [ "codestar-notifications:CreateNotificationRule", "codestar-notifications:DescribeNotificationRule", "codestar-notifications:UpdateNotificationRule", "codestar-notifications:DeleteNotificationRule", "codestar-notifications:Subscribe", "codestar-notifications:Unsubscribe" ], "Resource": "*", "Condition" : { "ArnLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codedeploy:*:*:application:*"} } }, { "Sid": "CodeStarNotificationsListAccess", "Effect": "Allow", "Action": [ "codestar-notifications:ListNotificationRules", "codestar-notifications:ListTargets", "codestar-notifications:ListTagsforResource" ], "Resource": "*" }, { "Sid": "CodeStarNotificationsSNSTopicCreateAccess", "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:SetTopicAttributes" ], "Resource": "arn:aws:sns:*:*:codestar-notifications*" }, { "Sid" : "CodeStarNotificationsChatbotAccess", "Effect" : "Allow", "Action" : [ "chatbot:DescribeSlackChannelConfigurations" ], "Resource" : "*" }, { "Sid": "SNSTopicListAccess", "Effect": "Allow", "Action": [ "sns:ListTopics" ], "Resource": "*" } ``` ### 唯讀受管政策中通知的許可 `AWSCodeDeployReadOnlyAccess` 受管政策包含下列陳述式，允許對通知的唯讀存取權限。適用此受管政策的使用者可以檢視資源的通知，但無法建立、管理或訂閱通知。 ``` { "Sid": "CodeStarNotificationsPowerUserAccess", "Effect": "Allow", "Action": [ "codestar-notifications:DescribeNotificationRule" ], "Resource": "*", "Condition" : { "ArnLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codedeploy:*:*:application:*"} } }, { "Sid": "CodeStarNotificationsListAccess", "Effect": "Allow", "Action": [ "codestar-notifications:ListNotificationRules" ], "Resource": "*" } ``` ### 其他 受管政策中通知的許可 `AWSCodeDeployDeployerAccess` 受管政策包含下列陳述式，可讓使用者建立、更新、訂閱和檢視 資源的通知，但無法刪除它們。套用此受管政策的使用者也可以建立和管理通知的 Amazon SNS 主題。 此政策包含執行以下動作的許可： + `codestar-notifications:CreateNotificationRule` – 允許主體建立通知。 + `codestar-notifications:DescribeNotificationRule` – 允許主體擷取通知的相關資訊。 + `codestar-notifications:UpdateNotificationRule` – 允許主體更新通知。 + `codestar-notifications:Subscribe` – 允許主體訂閱通知更新。 + `codestar-notifications:Unsubscribe` – 允許主體取消訂閱通知更新。 + `codestar-notifications:ListNotificationRules` – 允許主體擷取通知規則清單。 + `codestar-notifications:ListTargets` – 允許主體擷取目標清單。 + `codestar-notifications:ListTagsforResource` – 允許主體擷取標籤清單。 + `codestar-notifications:ListEventTypes` – 允許主體擷取事件類型的清單。 + `chatbot:DescribeSlackChannelConfiguration` – 允許主體擷取 Slack 頻道組態的相關資訊。 + `sns:ListTopics` – 允許主體擷取通知的 Amazon SNS 主題清單。 ``` { "Sid" : "CodeStarNotificationsReadWriteAccess", "Effect" : "Allow", "Action" : [ "codestar-notifications:CreateNotificationRule", "codestar-notifications:DescribeNotificationRule", "codestar-notifications:UpdateNotificationRule", "codestar-notifications:Subscribe", "codestar-notifications:Unsubscribe" ], "Resource" : "*", "Condition" : { "ArnLike" : { "codestar-notifications:NotificationsForResource" : "arn:aws:codedeploy:*:*:application:*" } } }, { "Sid" : "CodeStarNotificationsListAccess", "Effect" : "Allow", "Action" : [ "codestar-notifications:ListNotificationRules", "codestar-notifications:ListTargets", "codestar-notifications:ListTagsforResource", "codestar-notifications:ListEventTypes" ], "Resource" : "*" }, { "Sid" : "CodeStarNotificationsChatbotAccess", "Effect" : "Allow", "Action" : [ "chatbot:DescribeSlackChannelConfigurations" ], "Resource" : "*" }, { "Sid" : "SNSTopicListAccess", "Effect" : "Allow", "Action" : [ "sns:ListTopics" ], "Resource" : "*" } ``` 如需詳細資訊，請參閱 [ AWS CodeStar Notifications 的身分和存取管理](https://docs.aws.amazon.com/codestar-notifications/latest/userguide/security-iam.html)。 # AWS 受管政策的 CodeDeploy 更新 檢視自此服務開始追蹤這些變更以來CodeDeploy AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 CodeDeploy 上的 RSS 摘要[文件歷史紀錄](document-history.md)。 | 變更 | 描述 | Date | | --- | --- | --- | | `AWSCodeDeployDeployerAccess` 受管政策 – 現有政策的更新 | 更新 `codestar-notifications:NotificationsForResource`動作以支援 IAM 政策驗證變更。原始資源`arn:aws:codedeploy:*`已更新為 `arn:aws:codedeploy:*:*:application:*`。 如需此政策的詳細資訊，請參閱[其他 受管政策中通知的許可](managed-policies.md#notifications-deployer)。 | 2024 年 12 月 16 日 | | `AWSCodeDeployReadOnlyAccess` 受管政策 – 現有政策的更新 | 更新 `codestar-notifications:NotificationsForResource`動作以支援 IAM 政策驗證變更。原始資源`arn:aws:codedeploy:*`已更新為 `arn:aws:codedeploy:*:*:application:*`。 如需此政策的詳細資訊，請參閱[唯讀受管政策中通知的許可](managed-policies.md#notifications-readonly)。 | 2024 年 12 月 16 日 | | `AWSCodeDeployFullAccess` 受管政策 – 現有政策的更新 | 更新 `codestar-notifications:NotificationsForResource`動作以支援 IAM 政策驗證變更。原始資源`arn:aws:codedeploy:*`已更新為 `arn:aws:codedeploy:*:*:application:*`。 如需此政策的詳細資訊，請參閱[完整存取受管政策中通知的許可](managed-policies.md#notifications-fullaccess)。 | 2024 年 12 月 16 日 | | `AWSCodeDeployRole` 受管政策 – 現有政策的更新 | 已將 `elasticloadbalancing:DescribeLoadBalancerAttributes`和 `elasticloadbalancing:DescribeTargetGroupAttributes`動作新增至政策陳述式，以支援 Elastic Load Balancing 變更。 如需此政策的詳細資訊，請參閱[AWSCodeDeployRole](managed-policies.md#ACD-policy)。 | 2023 年 8 月 16 日 | | `AWSCodeDeployFullAccess` 受管政策 – 現有政策的更新 | 將 `chatbot:ListMicrosoftTeamsChannelConfigurations`動作新增至政策陳述式，以支援通知變更。 如需此政策的詳細資訊，請參閱[AWSCodeDeployRole](managed-policies.md#ACD-policy)。 | 2023 年 5 月 11 日 | | `AWSCodeDeployRole` 受管政策 – 現有政策的更新 | 將 ` autoscaling:CreateOrUpdateTags`動作新增至政策陳述式，以支援 Amazon EC2 Auto Scaling 授權變更。 如需此政策的詳細資訊，請參閱[AWSCodeDeployRole](managed-policies.md#ACD-policy)。 | 2023 年 2 月 3 日 | | `AmazonEC2RoleforAWSCodeDeployLimited` 受管政策 – 現有政策的更新 | 從包含 `s3:ExistingObjectTag/UseWithCodeDeploy`條件的政策陳述式中移除`s3:ListBucket`動作。 如需此政策的詳細資訊，請參閱[AmazonEC2RoleforAWSCodeDeployLimited](managed-policies.md#EC2-policy)。 | 2021 年 11 月 22 日 | | `AWSCodeDeployRole` 受管政策 – 現有政策的更新 | 新增 `autoscaling:PutWarmPool`動作，以支援[將暖集區新增至藍/綠部署的 Amazon EC2 Auto Scaling 群組](https://docs.aws.amazon.com/autoscaling/ec2/userguide/ec2-auto-scaling-warm-pools.html#add-warm-pool-console/ec2/userguide/ec2-auto-scaling-warm-pools.html#add-warm-pool-console)。 已移除不必要的重複動作。 | 2021 年 5 月 18 日 | | CodeDeploy 已開始追蹤變更 | CodeDeploy 開始追蹤其 AWS 受管政策的變更。 | 2021 年 5 月 18 日 | # AWS CodeDeploy 身分型政策範例 根據預設，使用者沒有建立或修改 CodeDeploy 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。您必須建立 IAM 政策，授予 IAM 角色對所需指定資源執行 API 操作的許可。然後，您必須將這些 IAM 角色連接到需要這些許可的使用者或群組。 若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《IAM 使用者指南》中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 在 CodeDeploy 中，身分型政策用於管理與部署程序相關的各種資源的許可。您可以控制下列資源類型的存取： + 應用程式與應用程式修訂。 + 部署。 + 部署組態。 + 執行個體與內部部署執行個體。 資源政策控制的功能會因資源類型而有所不同，如下表所述： **** | 資源類型 | 功能 | | --- | --- | | 全部 | 檢視及列出資源的詳細資訊 | | 應用程式 部署組態 部署群組 | 建立 資源 刪除資源 | | 部署 | 建立部署 停止部署 | | 應用程式修訂 | 註冊應用程式修訂 | | 應用程式 部署群組 | 更新資源 | | 現場部署執行個體 | 為執行個體新增標籤 從執行個體移除標籤 註冊執行個體 取消註冊執行個體 | 以下範例顯示的許可政策，允許使用者刪除 **us-west-2** 區域內與名為 **WordPress\$1App** 應用程式建立關聯，且名為 **WordPress\$1DepGroup** 的部署群組。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "codedeploy:DeleteDeploymentGroup" ], "Resource" : [ "arn:aws:codedeploy:us-west-2:111122223333:deploymentgroup:WordPress_App/WordPress_DepGroup" ] } ] } ``` ------ **Topics** + [客戶受管政策範例](#customer-managed-policies) + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 CodeDeploy 主控台](#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) ## 客戶受管政策範例 在本節中，您可以找到授予各種 CodeDeploy 動作許可的範例政策。當您使用 CodeDeploy API、 AWS SDKs 或 時，這些政策即可運作 AWS CLI。您必須為在主控台中執行的動作授與其他許可。若要進一步了解如何授與主控台許可，請參閱 [使用 CodeDeploy 主控台](#security_iam_id-based-policy-examples-console)。 **注意** 所有範例皆使用美國西部 (奧勒岡) 區域 (`us-west-2`) 及虛構帳戶 ID。 **範例** + [範例 1：允許在單一區域中執行 CodeDeploy 操作的許可](#identity-based-policies-example-1) + [範例 2：允許為單一應用程式註冊修訂的許可](#identity-based-policies-example-2) + [範例 3：允許為單一部署群組建立部署的許可](#identity-based-policies-example-3) ### 範例 1：允許在單一區域中執行 CodeDeploy 操作的許可 下列範例僅授予在 **us-west-2**區域中執行 CodeDeploy 操作的許可： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "codedeploy:*" ], "Resource" : [ "arn:aws:codedeploy:us-west-2:111122223333:*" ] } ] } ``` ------ ### 範例 2：允許為單一應用程式註冊修訂的許可 以下範例會授予許可，註冊 **us-west-2** 區域內所有開頭為 **Test** 應用程式的應用程式修訂： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "codedeploy:RegisterApplicationRevision" ], "Resource" : [ "arn:aws:codedeploy:us-west-2:111122223333:application:Test*" ] } ] } ``` ------ ### 範例 3：允許為單一部署群組建立部署的許可 下列範例允許 為名為 之應用程式**WordPress\$1DepGroup**相關聯的部署群組**WordPress\$1App**、名為 的自訂部署組態**ThreeQuartersHealthy**，以及與名為 之應用程式相關聯的任何應用程式修訂版建立部署的許可**WordPress\$1App**。所有這些資源都位於 **us-west-2** 區域。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "codedeploy:CreateDeployment" ], "Resource" : [ "arn:aws:codedeploy:us-west-2:111122223333:deploymentgroup:WordPress_App/WordPress_DepGroup" ] }, { "Effect" : "Allow", "Action" : [ "codedeploy:GetDeploymentConfig" ], "Resource" : [ "arn:aws:codedeploy:us-west-2:111122223333:deploymentconfig:ThreeQuartersHealthy" ] }, { "Effect" : "Allow", "Action" : [ "codedeploy:GetApplicationRevision" ], "Resource" : [ "arn:aws:codedeploy:us-west-2:111122223333:application:WordPress_App" ] } ] } ``` ------ ## 政策最佳實務 身分型政策會判斷您帳戶中的某人是否可以建立、存取或刪除 CodeDeploy 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 CodeDeploy 主控台 如果您使用 CodeDeploy 主控台，您必須擁有一組最低許可，允許您描述 AWS 帳戶的其他 AWS 資源。若要在 CodeDeploy 主控台中使用 CodeDeploy，您必須擁有下列服務的許可： + Amazon EC2 Auto Scaling + AWS CodeDeploy + Amazon Elastic Compute Cloud + Elastic Load Balancing + AWS Identity and Access Management + Amazon Simple Storage Service + Amazon Simple Notification Service + Amazon CloudWatch 如果您建立比最低必要許可更嚴格的 IAM 政策，對於具有該 IAM 政策角色的使用者，主控台將無法如預期運作。為了確保這些使用者仍然可以使用 CodeDeploy 主控台，也請將 `AWSCodeDeployReadOnlyAccess`受管政策連接至指派給使用者的角色，如中所述[AWS CodeDeploy 的受管 （預先定義） 政策](managed-policies.md)。 對於僅呼叫 AWS CLI 或 CodeDeploy API 的使用者，您不需要允許最低主控台許可。 ## 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # 對 AWS CodeDeploy 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 CodeDeploy 和 IAM 時可能遇到的常見問題。 **Topics** + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要允許 AWS 帳戶外的人員存取我的 CodeDeploy 資源](#security_iam_troubleshoot-cross-account-access) ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞至 CodeDeploy。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 CodeDeploy 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 AWS 帳戶外的人員存取我的 CodeDeploy 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 CodeDeploy 是否支援這些功能，請參閱 [AWS CodeDeploy 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # CodeDeploy 許可參考 當您設定可連接到 IAM 身分 （身分型政策） 的存取和寫入許可政策時，請使用下表。此表格列出每個 CodeDeploy API 操作、您可以授予執行動作許可的動作，以及用於授予許可的資源 ARN 格式。您可以在政策的 `Action` 欄位中指定動作。您可以使用或不使用萬用字元 (\$1)，指定 ARN 做為政策之 `Resource` 欄位中的資源值。 您可以在 CodeDeploy 政策中使用 AWS整個條件索引鍵來表達條件。如需 AWS全系列金鑰的完整清單，請參閱《*IAM 使用者指南*》中的[可用金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#AvailableKeys)。 若要指定動作，請使用 `codedeploy:` 字首，後面接著 API 操作名稱 (例如 `codedeploy:GetApplication` 和 `codedeploy:CreateApplication`)。若要在單一陳述式中指定多個動作，請用逗號加以分隔 (例如 `"Action": ["codedeploy:action1", "codedeploy:action2"]`)。 **使用萬用字元** 您可以在您的 ARN 中使用萬用字元 (\$1) 指定多個動作或資源。例如， `codedeploy:*`會指定所有 CodeDeploy 動作，並`codedeploy:Get*`指定以字詞 開頭的所有 CodeDeploy 動作`Get`。以下範例會授予存取所有名稱開頭為 `West`，且和名稱開頭為 `Test` 應用程式建立關聯的部署群組。 ``` arn:aws:codedeploy:us-west-2:444455556666:deploymentgroup:Test*/West* ``` 您可以針對下表列出的資源使用萬用字元： + *application-name* + *deployment-group-name* + *deployment-configuration-name* + *instance-ID* 萬用字元無法用於 *region* 或 *account-id*。如需萬用字元的詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 識別符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html)。 **注意** 在每個動作的 ARN 中，資源後方會跟隨一個冒號 (:)。您也可以使用斜線 (/) 跟隨資源。如需詳細資訊，請參閱 [CodeDeploy 範例 ARNs](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html#arn-syntax-codedeploy)。 使用捲軸查看資料表的其餘部分。 **CodeDeploy API 操作和動作所需的許可** | CodeDeploy API 操作 | 所需許可 (API 動作) | Resources | | --- | --- | --- | | [AddTagsToOnPremisesInstances](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_AddTagsToOnPremisesInstances.html) | `codedeploy:AddTagsToOnPremisesInstances` 若要將標籤新增至一個或多個現場部署執行個體，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：instance/*instance-ID* | | [BatchGetApplicationRevisions](https://docs.aws.amazon.com/codedeploy/latest/APIReference/BatchGetApplicationRevisions.html) | `codedeploy:BatchGetApplicationRevisions` 若要取得與 使用者相關聯的多個應用程式修訂版本相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：*application-name* | | [BatchGetApplications](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_BatchGetApplications.html) | `codedeploy:BatchGetApplications` 若要取得與 使用者相關聯的多個應用程式相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：\$1 | | [BatchGetDeploymentGroups](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_BatchGetDeploymentGroups.html) | `codedeploy:BatchGetDeploymentGroups` 若要取得與 使用者相關聯的多個部署群組相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [BatchGetDeploymentInstances](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_BatchGetDeploymentInstances.html) | codedeploy:BatchGetDeploymentInstances若要取得部署群組中的一個或多個執行個體相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [BatchGetDeployments](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_BatchGetDeployments.html) | `codedeploy:BatchGetDeployments` 若要取得與 使用者相關聯的多個部署相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [BatchGetOnPremisesInstances](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_BatchGetOnPremisesInstances.html) | `codedeploy:BatchGetOnPremisesInstances` 若要取得一個或多個現場部署執行個體的相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：\$1 | | [ContinueDeployment](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ContinueDeployment.html) | `codedeploy:ContinueDeployment` 在藍/綠部署期間，使用 Elastic Load Balancing 負載平衡器開始在替代環境中註冊執行個體的程序時需要。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [CreateApplication](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_CreateApplication.html) | `codedeploy:CreateApplication` 若要建立與 使用者相關聯的應用程式，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：*application-name* | | [CreateDeployment](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_CreateDeployment.html) 1 | `codedeploy:CreateDeployment` 若要建立與 使用者相關聯的應用程式部署，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [CreateDeploymentConfig](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_CreateDeploymentConfig.html) | `codedeploy:CreateDeploymentConfig` 若要建立與 使用者相關聯的自訂部署組態，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentconfig：*deployment-configuration-name* | | [CreateDeploymentGroup](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_CreateDeploymentGroup.html) | `codedeploy:CreateDeploymentGroup` 若要建立與 使用者相關聯的應用程式部署群組，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [DeleteApplication](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_DeleteApplication.html) | `codedeploy:DeleteApplication` 若要刪除與 使用者相關聯的應用程式，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：*application-name* | | [DeleteDeploymentConfig](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_DeleteDeploymentConfig.html) | `codedeploy:DeleteDeploymentConfig` 若要刪除與 使用者相關聯的自訂部署組態，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentconfig：*deployment-configuration-name* | | [DeleteDeploymentGroup](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_DeleteDeploymentGroup.html) | `codedeploy:DeleteDeploymentGroup` 若要刪除與 使用者相關聯的應用程式部署群組，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [DeregisterOnPremisesInstance](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_DeregisterOnPremisesInstance.html) | `codedeploy:DeregisterOnPremisesInstance` 若要取消註冊現場部署執行個體，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：instance/*instance-ID* | | [GetApplication](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetApplication.html) | `codedeploy:GetApplication` 若要取得與 使用者相關聯的單一應用程式相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：*application-name* | | [GetApplicationRevision](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetApplicationRevision.html) | `codedeploy:GetApplicationRevision` 若要取得與 使用者相關聯的單一應用程式修訂版本相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：*application-name* | | [GetDeployment](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetDeployment.html) | `codedeploy:GetDeployment` 若要針對與 使用者相關聯的應用程式，取得部署群組的單一部署相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [GetDeploymentConfig](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetDeploymentConfig.html) | `codedeploy:GetDeploymentConfig` 若要取得與 使用者相關聯的單一部署組態相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentconfig：*deployment-configuration-name* | | [GetDeploymentGroup](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetDeploymentGroup.html) | `codedeploy:GetDeploymentGroup` 若要取得與 使用者相關聯的應用程式單一部署群組相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [GetDeploymentInstance](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetDeploymentInstance.html) | `codedeploy:GetDeploymentInstance` 若要取得與 使用者相關聯部署中的單一執行個體相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [GetDeploymentTarget](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetDeploymentTarget.html) | `codedeploy:GetDeploymentTarget` 若要取得在 使用者相關部署中目標的相關資訊，則為必要資訊。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [GetOnPremisesInstance](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_GetOnPremisesInstance.html) | `codedeploy:GetOnPremisesInstance` 若要取得單一現場部署執行個體的相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：instance/*instance-ID* | | [ListApplicationRevisions](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListApplicationRevisions.html) | `codedeploy:ListApplicationRevisions` 若要取得與 使用者相關聯的所有應用程式修訂版本相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：\$1 | | [ListApplications](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListApplications.html) | `codedeploy:ListApplications` 若要取得與 使用者相關聯的所有應用程式相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：\$1 | | [ListDeploymentConfigs](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListDeploymentConfigs.html) | `codedeploy:ListDeploymentConfigs` 若要取得與 使用者相關聯的所有部署組態相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentconfig：\$1 | | [ListDeploymentGroups](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListDeploymentGroups.html) | `codedeploy:ListDeploymentGroups` 若要取得與 使用者相關聯的所有應用程式部署群組相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/\$1 | | [ListDeploymentInstances](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListDeploymentInstances.html) | `codedeploy:ListDeploymentInstances` 取得與使用者或 AWS 帳戶相關聯之部署中所有執行個體的相關資訊時需要。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [ListDeployments](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListDeployments.html) | `codedeploy:ListDeployments` 取得與使用者相關聯的部署群組之所有部署的相關資訊，或取得與使用者相關聯的所有部署時需要。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [ListDeploymentTargets](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListDeploymentTargets.html) | `codedeploy:ListDeploymentTargets` 取得與使用者相關聯之部署中所有目標的相關資訊時需要。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [ListGitHubAccountTokenNames](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListGitHubAccountTokenNames.html) | `codedeploy:ListGitHubAccountTokenNames` 必要許可，用於取得已存放 GitHub 帳戶連線的名稱清單。 | arn：aws：codedeploy：*region*：*account-id*：\$1 | | [ListOnPremisesInstances](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_ListOnPremisesInstances.html) | `codedeploy:ListOnPremisesInstances` 若要取得一個或多個現場部署執行個體名稱的清單，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：\$1 | | PutLifecycleEventHookExecutionStatus | `codedeploy:PutLifecycleEventHookExecutionStatus` 若要提供生命週期關聯事件執行狀態的相關通知，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [RegisterApplicationRevision](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_RegisterApplicationRevision.html) | `codedeploy:RegisterApplicationRevision` 若要註冊與 使用者相關聯的應用程式修訂版本相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：*application-name* | | [RegisterOnPremisesInstance](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_RegisterOnPremisesInstance.html) | `codedeploy:RegisterOnPremisesInstance` 向 CodeDeploy 註冊現場部署執行個體時需要。 | arn：aws：codedeploy：*region*：*account-id*：instance/*instance-ID* | | [RemoveTagsFromOnPremisesInstances](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_RemoveTagsFromOnPremisesInstances.html) | `codedeploy:RemoveTagsFromOnPremisesInstances` 若要從一個或多個現場部署執行個體移除標籤，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：instance/*instance-ID* | | [SkipWaitTimeForInstanceTermination](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_SkipWaitTimeForInstanceTermination.html) | `codedeploy:SkipWaitTimeForInstanceTermination` 若要在藍/綠部署中覆寫指定的等待時間，並立即在原始環境中啟動終止的執行個體，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：instance/*instance-ID* | | [StopDeployment](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_StopDeployment.html) | `codedeploy:StopDeployment` 若要針對與 使用者相關聯的應用程式，停止部署群組正在進行的部署，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | [UpdateApplication](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_UpdateApplication.html) 3 | `codedeploy:UpdateApplication` 若要變更與 使用者相關聯的應用程式相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：application：*application-name* | | [UpdateDeploymentGroup](https://docs.aws.amazon.com/codedeploy/latest/APIReference/API_UpdateDeploymentGroup.html) 3 | `codedeploy:UpdateDeploymentGroup` 若要變更與 使用者相關聯的應用程式單一部署群組相關資訊，則為必要許可。 | arn：aws：codedeploy：*region*：*account-id*：deploymentgroup：*application-name*/*deployment-group-name* | | 1 當您指定`CreateDeployment`許可時，您還必須指定部署組態的`GetDeploymentConfig`許可和`GetApplicationRevision`/或應用程式修訂版的`RegisterApplicationRevision`許可。此外，如果您在 `CreateDeployment` API 呼叫中包含 `overrideAlarmConfiguration` 參數，則必須指定 `UpdateDeploymentGroup`許可。 2 適用於提供特定部署群組`ListDeployments`時，但不適用於列出與使用者相關聯的所有部署時。 3 對於 `UpdateApplication`，您必須同時擁有舊應用程式名稱和新應用程式名稱的`UpdateApplication`許可。對於涉及變更部署群組名稱的 `UpdateDeploymentGroup` 動作，您必須同時擁有舊的及新的部署群組名稱的 `UpdateDeploymentGroup` 許可。 | # 預防跨服務混淆代理人 混淆代理人問題屬於安全性問題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了避免這種情況， AWS 提供工具，協助您保護所有 服務的資料，讓 服務主體能夠存取您帳戶中的資源。 我們建議在資源政策中使用 [aws：SourceArn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) 和 [aws：SourceAccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) 全域條件內容索引鍵，以限制 CodeDeploy 為資源提供其他服務的許可。如果同時使用這兩個全域條件內容索引鍵，且 `aws:SourceArn` 值包含帳戶 ID，則在相同政策陳述式中使用 `aws:SourceAccount` 值和 `aws:SourceArn` 值中的帳戶時，必須使用相同的帳戶 ID。如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 `aws:SourceArn`。`aws:SourceAccount` 如果您希望該帳戶中的任何資源與跨服務使用相關聯，請使用 。 對於 EC2/現場部署、 AWS Lambda 和一般 Amazon ECS 部署， 的值`aws:SourceArn`應包含 CodeDeploy 部署群組 ARN，允許 CodeDeploy 擔任 IAM 角色。 對於[透過 建立的 Amazon ECS 藍/綠部署 CloudFormation](deployments-create-ecs-cfn.md)， 的值`aws:SourceArn`應包含允許 CodeDeploy 擔任 IAM 角色的 CloudFormation 堆疊 ARN。 防範混淆代理人問題的最有效方法是使用 `aws:SourceArn`金鑰搭配資源的完整 ARN。如果您不知道完整的 ARN 或指定多個資源，請針對未知部分使用萬用字元 (\$1)。 例如，您可以將下列信任政策與 EC2/現場部署、 AWS Lambda 或一般 Amazon ECS 部署搭配使用： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "codedeploy.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "111122223333" }, "ArnLike": { "aws:SourceArn": "arn:aws:codedeploy:us-east-1:111122223333:deploymentgroup:myApplication/*" } } } ] } ``` ------ 對於[透過 建立的 Amazon ECS 藍/綠部署 CloudFormation](deployments-create-ecs-cfn.md)，您可以使用： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "codedeploy.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "111122223333" }, "ArnLike": { "aws:SourceArn": "arn:aws:cloudformation:us-east-1:111122223333:stack/MyCloudFormationStackName/*" } } } ] } ``` ------ # 在 CodeDeploy 中記錄和監控 本節提供 CodeDeploy 中監控、記錄和事件回應的概觀。 ## 稽核與 CodeDeploy 的所有互動 CodeDeploy 已與 整合 AWS CloudTrail，此服務會擷取您 AWS 帳戶中由 CodeDeploy 發出或代表其發出的 API 呼叫，並將日誌檔案交付至您指定的 S3 儲存貯體。CloudTrail 會從 CodeDeploy 主控台、透過 CodeDeploy 命令 AWS CLI，或直接從 CodeDeploy APIs 擷取 API 呼叫。使用 CloudTrail 收集的資訊，您可以判斷向 CodeDeploy 提出的請求、提出請求的來源 IP 地址、提出請求的人員、提出請求的時間等。若要進一步了解 CloudTrail，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-working-with-log-files.html)。 您可以藉由設定 Amazon CloudWatch 代理程式在 CloudWatch 主控台中檢視彙總資料，或登入執行個體以檢閱日誌檔案，來檢視 CodeDeploy 部署建立的日誌資料。如需詳細資訊，請參閱[將 CodeDeploy 代理程式日誌傳送至 CloudWatch](codedeploy-agent-operations-cloudwatch-agent.md)。 ## 警示和事件管理 您可以使用 Amazon CloudWatch Events 來偵測和回應 CodeDeploy 操作中執行個體或部署 (*事件*) 狀態的變更。然後，當部署或執行個體進入您在規則中指定的狀態時，CloudWatch Events 會根據您建立的規則叫用一或多個目標動作。根據狀態變更的類型，建議您傳送通知、擷取狀態資訊、採取修正動作、啟動事件，或採取其他動作。當您使用 CloudWatch Events 做為 CodeDeploy 操作的一部分時，您可以選取下列類型的目標： + AWS Lambda 函數 + Kinesis 串流 + Amazon SQS SQS 佇列 + 內建目標 (CloudWatch 警示動作) + Amazon SNS 主題 下列為若干使用案例： + 當部署失敗時，使用 Lambda 函數傳送通知到 Slack 通道。 + 推送部署或執行個體的資料到 Kinesis 串流以支援完整且即時的狀態監控。 + 使用 CloudWatch 警示動作，在您指定的部署或執行個體事件發生時，自動停止、終止、重新啟動或復原 EC2 執行個體。 如需詳細資訊，請參閱《Amazon CloudWatch 使用者指南》**中的[什麼是 Amazon CloudWatch Events？](https://docs.aws.amazon.com/AmazonCloudWatch/latest/DeveloperGuide/WhatIsCloudWatchEvents.html)。 # AWS CodeDeploy 的合規驗證 若要了解 是否 AWS 服務 在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[在 中下載報告 AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。 # 彈性 in AWS CodeDeploy AWS 全球基礎設施是以 AWS 區域和可用區域為基礎建置。 AWS 區域提供多個實體分隔和隔離的可用區域，這些可用區域以低延遲、高輸送量和高備援聯網連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # AWS CodeDeploy 中的基礎設施安全 作為受管服務， AWS CodeDeploy 受到 [Amazon Web Services：安全程序概觀](https://d0.awsstatic.com/whitepapers/Security/AWS_Security_Whitepaper.pdf)白皮書中所述的 AWS 全球網路安全程序的保護。 您可以使用 AWS 發佈的 API 呼叫，透過網路存取 CodeDeploy。用戶端必須支援 Transport Layer Security (TLS) 1.2 或更新版本。建議使用 TLS 1.3 或更新版本。用戶端也必須支援具備完美轉送私密 (PFS) 的密碼套件，例如臨時 Diffie-Hellman (DHE) 或橢圓曲線臨時 Diffie-Hellman (ECDHE)。現代系統 (如 Java 7 和更新版本) 大多會支援這些模式。 請求必須使用存取金鑰 ID 和與 IAM 委託人相關聯的私密存取金鑰來簽署。或者，您可以使用 [AWS Security Token Service](https://docs.aws.amazon.com/STS/latest/APIReference/Welcome.html) (AWS STS) 以產生暫時安全憑證以簽署請求。