適用於 AWS CodePipeline的 Identity and Access Management

登入 AWS Management Console 並開啟IAM主控台，位於https://console.aws.amazon.com/iam/。

在IAM主控台的瀏覽窗格中，選擇 [角色]，然後從AWS-CodePipeline-Service角色清單中選擇您的角色。

在 [權限] 索引標籤的 [內嵌原則] 中，在服務角色原則的列中，選擇 [編輯原則]。

在 [原則] 文件方塊中新增必要的權限。

例如，對於 CodeCommit 支持，請將以下內容添加到您的政策聲明中：

{
  "Effect": "Allow",
  "Action": [  
      "codecommit:GetBranch",
      "codecommit:GetCommit",
      "codecommit:UploadArchive",
      "codecommit:GetUploadArchiveStatus",      
      "codecommit:CancelUploadArchive"
            ],
  "Resource": "resource_ARN"
},

如需 AWS OpsWorks 支援，請在您的政策聲明中新增以下內容：

{
    "Effect": "Allow",
    "Action": [
        "opsworks:CreateDeployment",
        "opsworks:DescribeApps",
        "opsworks:DescribeCommands",
        "opsworks:DescribeDeployments",
        "opsworks:DescribeInstances",
        "opsworks:DescribeStacks",
        "opsworks:UpdateApp",
        "opsworks:UpdateStack"
    ],
    "Resource": "resource_ARN"
},

如需 AWS CloudFormation 支援，請在您的政策聲明中新增以下內容：

{
    "Effect": "Allow",
    "Action": [
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStacks",
        "cloudformation:UpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DescribeChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:SetStackPolicy",
        "cloudformation:ValidateTemplate",
        "iam:PassRole"
    ],
    "Resource": "resource_ARN"
},

請注意，cloudformation:DescribeStackEvents權限是可選的。它允許動 AWS CloudFormation 作顯示更詳細的錯誤訊息。如果您不想在管線錯誤訊息中顯示資源詳細資料，則可以從IAM角色撤銷此權限。如需詳細資訊，請參閱AWS CloudFormation 部署動作參考。

如需 CodeBuild 支援，請在您的政策聲明中新增以下內容：

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuilds",
        "codebuild:StartBuild"
    ],
    "Resource": "resource_ARN"
},

如需 AWS Device Farm 支援，請在您的政策聲明中新增以下內容：

{
    "Effect": "Allow",
    "Action": [
        "devicefarm:ListProjects",
        "devicefarm:ListDevicePools",
        "devicefarm:GetRun",
        "devicefarm:GetUpload",
        "devicefarm:CreateUpload",
        "devicefarm:ScheduleRun"
    ],
    "Resource": "resource_ARN"
},

如需 Service Catalog 支援，請將下列項目新增至您的原則陳述式：

{
    "Effect": "Allow",
    "Action": [
        "servicecatalog:ListProvisioningArtifacts",
        "servicecatalog:CreateProvisioningArtifact",
        "servicecatalog:DescribeProvisioningArtifact",
        "servicecatalog:DeleteProvisioningArtifact",
        "servicecatalog:UpdateProduct"
    ],
    "Resource": "resource_ARN"
},
{
    "Effect": "Allow",
    "Action": [
        "cloudformation:ValidateTemplate"
    ],
    "Resource": "resource_ARN"
}

如需 Amazon ECR 支援，請將以下內容新增至您的政策聲明：

{
    "Effect": "Allow",
    "Action": [
        "ecr:DescribeImages"
    ],
    "Resource": "resource_ARN"
},

對於 AmazonECS，以下是使用 Amazon ECS 部署動作建立管道所需的最低許可。

{
    "Effect": "Allow",
    "Action": [
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        "ecs:DescribeTasks",
        "ecs:ListTasks",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource",
        "ecs:UpdateService"
    ],
    "Resource": "resource_ARN"
},

您可以選擇在 Amazon 中使用標記授權ECS。選擇加入後，您必須授予以下權限：ecs:TagResource. 如需有關如何選擇加入以及判斷是否需要權限以及強制執行標籤授權的詳細資訊，請參閱 Amazon 彈性容器服務開發人員指南中的標記授權時間表。

您也必須新增iam:PassRole權限，才能將IAM角色用於工作。如需詳細資訊，請參閱 Amazon ECS 任務執行IAMIAM角色和任務角色。請使用下列原則文字。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

對於CodeDeployToECS動作 (藍/綠部署)，以下是使用至 Amazon ECS 藍/綠部署動作建立管道所需的最低許可。 CodeDeploy

{
    "Effect": "Allow",
    "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetApplication",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision",
        "codedeploy:GetDeploymentConfig",
        "ecs:RegisterTaskDefinition",
        "ecs:TagResource"
    ],
    "Resource": "resource_ARN"
},

您可以選擇在 Amazon 中使用標記授權ECS。選擇加入後，您必須授予以下權限：ecs:TagResource. 如需有關如何選擇加入以及判斷是否需要權限以及強制執行標籤授權的詳細資訊，請參閱 Amazon 彈性容器服務開發人員指南中的標記授權時間表。

您也必須新增iam:PassRole權限，才能將IAM角色用於工作。如需詳細資訊，請參閱 Amazon ECS 任務執行IAMIAM角色和任務角色。請使用下列原則文字。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::aws_account_ID:role/ecsTaskExecutionRole_or_TaskRole_name"
            ]
        }
    ]
}

您也可以在iam:PassedToService條件下新增ecs-tasks.amazonaws.com至服務清單，如此範例所示。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "resource_ARN",
            "Condition": {
                "StringEqualsIfExists": {
                    "iam:PassedToService": [
                        "cloudformation.amazonaws.com",
                        "elasticbeanstalk.amazonaws.com",
                        "ec2.amazonaws.com",
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        },

對於 AWS CodeStar 連接，需要以下權限才能使用連接的源創建管道，例如 Bitbucket Cloud。

{
    "Effect": "Allow",
    "Action": [
        "codestar-connections:UseConnection"
    ],
    "Resource": "resource_ARN"
},

如需有關連線IAM權限的詳細資訊，請參閱連線權限參考。

對於StepFunctions動作，以下是使用「Step Functions」叫用動作建立管線所需的最低權限。

{
    "Effect": "Allow",
    "Action": [
        "states:DescribeStateMachine",
        "states:DescribeExecution",
        "states:StartExecution"
    ],
    "Resource": "resource_ARN"
},

對於此AppConfig動作，以下是使 AWS AppConfig 用 invoke 動作建立管線所需的最低權限。

{
    "Effect": "Allow",
    "Action": [
        "appconfig:StartDeployment",
        "appconfig:GetDeployment",
        "appconfig:StopDeployment"
    ],
    "Resource": "resource_ARN"
},

如需批次建置的 CodeBuild 支援，請將下列內容新增至您的政策陳述式：

{
    "Effect": "Allow",
    "Action": [
        "codebuild:BatchGetBuildBatches",
        "codebuild:StartBuildBatch"
    ],
    "Resource": "resource_ARN"
},

對於 AWS CloudFormation StackSets 動作，需要下列最低權限。

如需完整複製選項的 CodeCommit 支援，請將下列內容新增至您的政策陳述式：

{
    "Effect": "Allow",
    "Action": [
        "codecommit:GetRepository"
    ],
    "Resource": "resource_ARN"
},

對於 Elastic Beanstalk，以下是使用ElasticBeanstalk部署動作建立管道所需的最低權限。

{
    "Effect": "Allow",
    "Action": [
        "elasticbeanstalk:*",
        "ec2:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "rds:*",
        "sqs:*",
        "ecs:*"
    ],
    "Resource": "resource_ARN"
},

對於您要為 CloudWatch 記錄設定的管道，以下是您需要新增至 CodePipeline 服務角色的最低權限。

{
    "Effect": "Allow",
    "Action": [
        "logs:DescribeLogGroups",
        "logs:PutRetentionPolicy"
    ],
    "Resource": "resource_ARN"
},

選擇檢閱政策，確保政策沒有任何錯誤。當原則沒有錯誤時，請選擇 [套用原則]。