在 中建立管道 CodePipeline ，該管道使用來自另一個 AWS 帳戶的資源

AWS Management Console 使用 登入 AccountA 並開啟 AWS KMS 主控台。

在左側選擇 Customer managed keys (客戶受管金鑰)。

選擇建立金鑰。在 Configure key (設定金鑰) 中，保持 Symmetric (對稱) 預設值的選取狀態，然後選擇 Next (下一步)。

在別名 中，輸入要用於此金鑰的別名 （例如，PipelineName-Key）。 或者，提供此金鑰的描述和標籤，然後選擇下一步。

在定義金鑰管理許可 中，選擇您要擔任此金鑰管理員的角色，然後選擇下一個 。

在定義金鑰用量許可 中，在此帳戶 下，選取管道的服務角色名稱 （例如 CodePipeline_Service_Role）。在其他 AWS 帳戶 下，選擇新增另一個 AWS 帳戶 。輸入 的帳戶 ID AccountB 完成 ARN，然後選擇下一步 。

在 Review and edit key policy (檢閱和編輯金鑰政策) 中檢閱政策，然後選擇 Finish (完成)。

從金鑰清單中，選擇金鑰的別名，然後複製其 ARN（例如，arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE）。在您編輯管道和設定政策時將需要用到這項資料。

AWS Management Console 使用 登入 AccountA 並在 開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

在 Amazon S3 儲存貯體清單中，選擇儲存管道成品的 Amazon S3 儲存貯體。此儲存貯體名為 codepipeline-region-1234567EXAMPLE，其中 region 是您在其中建立管道的 AWS 區域，以及 1234567EXAMPLE 是十位數隨機數字，可確保儲存貯體名稱是唯一的 （例如，codepipeline-us-east-2-1234567890).

在 Amazon S3 儲存貯體的詳細資訊頁面上，選擇屬性 。

在屬性窗格中，展開 Permissions (許可)，然後選擇 Add bucket policy (新增儲存貯體政策)。

在 Bucket Policy Editor (儲存貯體政策編輯器)​ 視窗中，輸入以下政策。這將允許 AccountB 對管道成品的存取，並將提供 AccountB 如果自訂來源或建置動作等動作建立輸出成品，則能夠新增輸出成品。

在下列範例中， ARN 適用於 AccountB 是 012ID_ACCOUNT_B。 Amazon S3 儲存貯體ARN的 是 codepipeline-us-east-2-1234567890。 ARNs 將這些項目取代ARN為您想要允許存取的帳戶的 ，以及 Amazon S3 儲存貯體ARN的 ：

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

選擇 Save (儲存)，然後關閉政策編輯器。

選擇儲存以儲存 Amazon S3 儲存貯體的許可。

AWS Management Console 使用 登入 AccountA 並在 開啟IAM主控台https://console.aws.amazon.com/iam/。

在導覽窗格中，選擇角色。

在角色清單中的角色名稱 下，選擇 的服務角色名稱 CodePipeline。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON 索引標籤，然後輸入下列政策以允許 AccountB 擔任該角色。在下列範例中，012ID_ACCOUNT_B 是 ARN的 AccountB:

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

AWS Management Console 使用 登入 AccountB 並在 開啟IAM主控台https://console.aws.amazon.com/iam/。

在導覽窗格中，選擇角色。

在角色清單中的角色名稱 下，選擇用作 CodeDeploy 應用程式 Amazon EC2執行個體角色的服務角色名稱。此角色名稱可能不同，且部署群組可使用一個以上的執行個體角色。如需詳細資訊，請參閱為您的 Amazon IAM Instances 建立EC2執行個體設定檔。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON 索引標籤，然後輸入下列政策，以授予 所使用的 Amazon S3 儲存貯體存取權 AccountA 儲存管道的成品 （在此範例中，codepipeline-us-east-2-1234567890):

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

為 AWS KMS 中建立的客戶受管金鑰ARN的 arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE 建立第二個政策 AccountA 並設定為允許 AccountB 使用它：

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

AWS Management Console 使用 登入 AccountB 並在 https://console.aws.amazon.com/iam 開啟IAM主控台。

在導覽窗格中，選擇 Roles (角色)。選擇 Create Role (建立角色)。

在 Select type of trusted entity (選取信任的實體類型) 下，選擇 Another AWS account (另一個 帳戶)。在指定可使用此角色的帳戶 下，在帳戶 ID 中輸入 AWS 將在 CodePipeline （AccountA），然後選擇下一步：許可。

在連接許可政策 下，選擇 AmazonS3ReadOnlyAccess，然後選擇下一步：標籤 。

選擇下一步：檢閱。在角色名稱中輸入此角色的名稱 （例如，CrossAccount_Role）。 只要遵循 中的命名慣例，您就可以將此角色命名為任何您想要的角色IAM。可考慮給予角色清楚說明其用途的名稱。選擇建立角色。

從角色清單中，選擇您剛建立的角色 （例如，CrossAccount_Role） 開啟該角色的摘要頁面。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON索引標籤，然後輸入下列政策以允許存取 CodeDeploy 資源：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON索引標籤，然後輸入下列政策，以允許此角色從 Amazon S3 儲存貯體擷取輸入成品，並將輸出成品放入其中 AccountA:

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

在許可索引標籤上，在政策名稱 下的政策清單中尋找 AmazonS3ReadOnlyAccess，然後選擇政策旁邊的刪除圖示 （X）。出現提示時，選擇 Detach (分離)。

選取信任關係索引標籤，然後選擇編輯信任政策 。選擇左欄上的新增主體選項。對於主體類型 ，選擇IAM角色 ，然後在 中提供 ARN 中的 CodePipeline 服務角色 AccountA。 arn:aws:iam::Account_A:root 從AWS 主體 的清單中移除 ，然後選擇更新政策 。

在終端機 （Linux、macOS 或 Unix） 或命令提示字元 （Windows） 中，在您要新增資源的管道上執行get-pipeline命令。將命令輸出複製到 JSON 檔案。例如，對於名為 的管道 MyFirstPipeline，您可以輸入類似下列內容：

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

輸出會傳送至 pipeline.json file.

在任何純文字編輯器中開啟 JSON 檔案。在成品存放"type": "S3"區中，新增 KMS encryptionKey、ID 並輸入資訊，其中 codepipeline-us-east-2-1234567890 是用於存放管道成品的 Amazon S3 儲存貯體名稱，arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE也是您剛建立的客戶受管金鑰ARN的 ：

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

在階段中新增部署動作，以使用與 相關聯的 CodeDeploy 資源 AccountB，包括您建立的跨帳戶角色roleArn的值 （CrossAccount_Role).

下列範例顯示 JSON 新增名為 的部署動作 ExternalDeploy。 它使用在 中建立 CodeDeploy 的資源 AccountB 在名為 的階段中 Staging。 在下列範例中， ARN的 AccountB 是 012ID_ACCOUNT_B:

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

您必須從檔案移除 metadata 行，以讓 update-pipeline 命令可以使用它。從JSON檔案中的管道結構中移除 區段 （"metadata": { }行和 "created"、 "pipelineARN"和 "updated" 欄位）。

例如，從結構中移除下列幾行：

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

儲存檔案。

若要套用變更，請執行 update-pipeline命令，指定管道JSON檔案，如下所示：

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

此命令會傳回所編輯管道的整個結構。

在終端機 （Linux、macOS 或 Unix） 或命令提示字元 （Windows） 執行 start-pipeline-execution命令，指定管道的名稱，如下所示：

aws codepipeline start-pipeline-execution --name MyFirstPipeline

如需詳細資訊，請參閱手動啟動管道。

AWS Management Console 使用 登入 AccountA 並開啟主控台， CodePipeline網址為 https：//http://console.aws.amazon.com/codesuite/codepipeline/home。

與 AWS 您的帳戶相關聯的所有管道名稱都會顯示。

在 Name (名稱) 中，選擇您剛編輯的管道名稱。這會開啟管道的詳細檢視，包含管道中各階段的每項動作之狀態。

從管道觀看進度。等待使用與其他 AWS 帳戶相關聯資源之動作的成功訊息。