本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 中的安全性 AWS CodePipeline 的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性： + **雲端的安全性** – AWS 負責保護在 中執行 AWS 服務的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。作為[AWS 合規計畫](https://aws.amazon.com/compliance/programs/)的一部分，第三方稽核人員會定期測試和驗證我們安全的有效性。若要了解適用的合規計劃 AWS CodePipeline，請參閱[AWS 合規計劃的 服務範圍](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 CodePipeline 時套用共同責任模型。下列主題說明如何設定 CodePipeline 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 CodePipeline 資源。 **Topics** + [中的資料保護 AWS CodePipeline](data-protection.md) + [的身分和存取管理 AWS CodePipeline](security-iam.md) + [在 CodePipeline 中記錄和監控](incident-response.md) + [的合規驗證 AWS CodePipeline](compliance-validation.md) + [中的彈性 AWS CodePipeline](disaster-recovery-resiliency.md) + [中的基礎設施安全 AWS CodePipeline](infrastructure-security.md) + [安全最佳實務](security-best-practices.md) # 中的資料保護 AWS CodePipeline AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 中的資料保護。如此模型所述， AWS 負責保護執行所有 的 全球基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 或使用主控台、API AWS CLI或其他 AWS 服務 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 下列安全最佳實務也會處理 CodePipeline 中的資料保護： + [針對存放在 Amazon S3 for CodePipeline 中的成品設定伺服器端加密](S3-artifact-encryption.md) + [使用 AWS Secrets Manager 追蹤資料庫密碼或第三方 API 金鑰](parameter-store-encryption.md) ## 網際網路流量隱私權 Amazon VPC 是 AWS 服務 ，可用來在您定義的虛擬網路 (*虛擬私有雲端*) 中啟動 AWS 資源。CodePipeline 支援採用 AWS PrivateLink 技術的 Amazon VPC 端點，這項 AWS 技術有助於在搭配私有 IP 地址 AWS 服務 使用彈性網路介面之間進行私有通訊。這表示您可以透過 VPC 中的私有端點直接連線至 CodePipeline，保留 VPC 和 AWS 網路內的所有流量。先前，在 VPC 內執行的應用程式需要網際網路存取才能連線至 CodePipeline。使用 VPC，您可以控制網路設定，例如： + IP 地址範圍、 + 子網路、 + 路由表，以及 + 網路閘道。 若要將 VPC 連線至 CodePipeline，您可以定義 CodePipeline 的介面 VPC 端點。這種類型的端點可讓您將 VPC 連線到 AWS 服務。端點提供可靠、可擴展的 CodePipeline 連線，而不需要網際網路閘道、網路位址轉譯 (NAT) 執行個體或 VPN 連線。如需設定 VPC 的相關資訊，請參閱 [VPC 使用者指南](https://docs.aws.amazon.com/vpc/latest/userguide/)。 ## 靜態加密 CodePipeline 中的資料會使用 進行靜態加密 AWS KMS keys。程式碼成品存放在客戶擁有的 S3 儲存貯體中，並使用 AWS 受管金鑰 或客戶受管金鑰加密。如需詳細資訊，請參閱[針對存放在 Amazon S3 for CodePipeline 中的成品設定伺服器端加密](S3-artifact-encryption.md)。 ## 傳輸中加密 所有service-to-service通訊都會使用 SSL/TLS 在傳輸中加密。 ## 加密金鑰管理 如果您選擇預設選項來加密程式碼成品，CodePipeline 會使用 AWS 受管金鑰。您無法變更或刪除此項目 AWS 受管金鑰。如果您在 中使用客戶受管金鑰 AWS KMS 來加密或解密 S3 儲存貯體中的成品，您可以視需要變更或輪換此客戶受管金鑰。 **重要** CodePipeline 僅支援對稱 KMS 金鑰。請勿使用非對稱 KMS 金鑰來加密 S3 儲存貯體中的資料。 **Topics** # 針對存放在 Amazon S3 for CodePipeline 中的成品設定伺服器端加密 有兩種方式可以設定 Amazon S3 成品的伺服器端加密： + 當您使用建立管道精靈建立管道 AWS 受管金鑰 時，CodePipeline 會建立 S3 成品儲存貯體和預設值。 AWS 受管金鑰 會與物件資料一起加密，並由 管理 AWS。 + 您可以建立和管理自己的客戶受管金鑰。 **重要** CodePipeline 僅支援對稱 KMS 金鑰。請勿使用非對稱 KMS 金鑰來加密 S3 儲存貯體中的資料。 如果您使用的是預設 S3 金鑰，則無法變更或刪除此 AWS 受管金鑰。如果您在 中使用客戶受管金鑰 AWS KMS 來加密或解密 S3 儲存貯體中的成品，您可以視需要變更或輪換此客戶受管金鑰。 如果儲存貯體中所存放的所有物件都需要伺服器端加密，則 Amazon S3 支援您可使用的儲存貯體政策。例如，如果要求不包含要求含 SSE-KMS 之伺服器端加密的 `s3:PutObject` 標頭，則下列儲存貯體政策會拒絕向所有人上傳物件 (`x-amz-server-side-encryption`) 的許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Id": "SSEAndSSLPolicy", "Statement": [ { "Sid": "DenyUnEncryptedObjectUploads", "Effect": "Deny", "Principal": "*", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*", "Condition": { "StringNotEquals": { "s3:x-amz-server-side-encryption": "aws:kms" } } }, { "Sid": "DenyInsecureConnections", "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*", "Condition": { "Bool": { "aws:SecureTransport": "false" } } } ] } ``` ------ 如需伺服器端加密的詳細資訊 AWS KMS，請參閱[使用伺服器端加密保護資料](https://docs.aws.amazon.com/AmazonS3/latest/userguide/serv-side-encryption.html)和[使用存放在 (SSE-KMS) 中的 AWS Key Management Service KMS 金鑰使用伺服器端加密保護資料](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html)。 如需 的詳細資訊 AWS KMS，請參閱 [AWS Key Management Service 開發人員指南](https://docs.aws.amazon.com/kms/latest/developerguide/)。 **Topics** + [檢視您的 AWS 受管金鑰](#S3-view-default-keys) + [使用 CloudFormation 或 設定 S3 儲存貯體的伺服器端加密 AWS CLI](#S3-rotate-customer-key) ## 檢視您的 AWS 受管金鑰 當您使用 **Create Pipeline (建立管道)** 精靈建立第一個管道時，在您建立管道的相同區域中，將會為您建立 S3 儲存貯體。儲存貯體用於存放管道成品。當管道執行時，S3 儲存貯體中會放入和擷取成品。根據預設，CodePipeline 會使用 AWS 受管金鑰 適用於 Amazon S3 的 ( `aws/s3`金鑰） 搭配 AWS KMS 使用伺服器端加密。 AWS 受管金鑰 這會建立並儲存在您的帳戶中 AWS 。從 S3 儲存貯體擷取成品時，CodePipeline 會使用相同的 SSE-KMS 程序來解密成品。 **檢視 的相關資訊 AWS 受管金鑰** 1. 登入 AWS 管理主控台 並開啟 AWS KMS 主控台。 1. 如果出現歡迎頁面，請選擇**立即開始使用**。 1. 在服務導覽窗格中，選擇**AWS 受管金鑰**。 1. 選擇管道的區域。例如，如果管道是在 中建立的`us-east-2`，請確定篩選條件設定為美國東部 （俄亥俄）。 如需 CodePipeline 可用區域和端點的詳細資訊，請參閱[AWS CodePipeline 端點和配額](https://docs.aws.amazon.com/general/latest/gr/codepipeline.html)。 1. 在清單中，選擇具有管道所用別名的金鑰 （預設為 **aws/s3**)。隨即顯示金鑰的基本資訊。 ## 使用 CloudFormation 或 設定 S3 儲存貯體的伺服器端加密 AWS CLI 當您使用 CloudFormation 或 AWS CLI 建立管道時，您必須手動設定伺服器端加密。使用上面的範例儲存貯體政策，然後建立您自己的客戶受管金鑰。您也可以使用自己的金鑰，而不是 AWS 受管金鑰。選擇您自己的金鑰的一些原因包括： + 您希望依照排程輪換金鑰，以符合您組織的商業或安全需求。 + 您希望建立管道，使用與另一個 AWS 帳戶建立關聯的資源。這便需要使用客戶受管金鑰。如需詳細資訊，請參閱[在 CodePipeline 中建立使用其他 AWS 帳戶資源的管道](pipelines-create-cross-account.md)。 密碼編譯最佳實務不鼓勵大量重複使用加密金鑰。根據最佳實務，請定期輪換您的金鑰。若要為您的 AWS KMS 金鑰建立新的密碼編譯資料，您可以建立客戶受管金鑰，然後變更您的應用程式或別名，以使用新的客戶受管金鑰。或者，您可以為現有的客戶受管金鑰啟用自動金鑰輪換。 若要輪換客戶受管金鑰，請參閱[輪換金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html)。 **重要** CodePipeline 僅支援對稱 KMS 金鑰。請勿使用非對稱 KMS 金鑰來加密 S3 儲存貯體中的資料。 # 使用 AWS Secrets Manager 追蹤資料庫密碼或第三方 API 金鑰 建議您使用 AWS Secrets Manager 在整個生命週期輪換、管理和擷取資料庫登入資料、API 金鑰和其他**秘密**。Secrets Manager 可讓您將程式碼中的硬式編碼登入資料 （包括密碼） 取代為對 Secrets Manager 的 API 呼叫，以程式設計方式擷取秘密。如需詳細資訊，請參閱[什麼是 AWS Secrets Manager？](https://docs.aws.amazon.com/secretsmanager/latest/userguide/intro.html) 《*AWS Secrets Manager 使用者指南*》中的 。 對於在 CloudFormation 範本中傳遞秘密 （例如 OAuth 登入資料） 參數的管道，您應該在範本中包含動態參考，以存取您在 Secrets Manager 中存放的秘密。如需參考 ID 模式和範例，請參閱*AWS CloudFormation 《 使用者指南*》中的 [Secrets Manager Secrets](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/dynamic-references.html#dynamic-references-secretsmanager)。如需在管道中 GitHub webhook 範本程式碼片段內使用動態參考的範例，請參閱 [Webhook 資源組態](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-codepipeline-webhook.html#aws-resource-codepipeline-webhook--examples)。 ## 另請參閱 下列相關資源可在您管理秘密時提供協助。 + Secrets Manager 可以自動輪換資料庫登入資料，例如輪換 Amazon RDS 秘密。如需詳細資訊，請參閱《[AWS Secrets Manager 使用者指南》中的輪換 Secrets](https://docs.aws.amazon.com/secretsmanager/latest/userguide/rotating-secrets.html) *AWS Manager 秘密*。 + 如要檢視將 Secrets Manager 動態參考新增到您 CloudFormation 範本的說明，請參閱 [https://aws.amazon.com/blogs/security/how-to-create-and-retrieve-secrets-managed-in-aws-secrets-manager-using-aws-cloudformation-template/](https://aws.amazon.com/blogs/security/how-to-create-and-retrieve-secrets-managed-in-aws-secrets-manager-using-aws-cloudformation-template/)。 # 的身分和存取管理 AWS CodePipeline AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 CodePipeline 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [AWS CodePipeline 如何使用 IAM](security_iam_service-with-iam.md) + [AWS CodePipeline 身分型政策範例](security_iam_id-based-policy-examples.md) + [AWS CodePipeline 資源型政策範例](security_iam_resource-based-policy-examples.md) + [對 AWS CodePipeline 身分和存取進行故障診斷](security_iam_troubleshoot.md) + [許可參考](permissions-reference.md) + [管理 CodePipeline 服務角色](how-to-custom-role.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS CodePipeline 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS CodePipeline 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [AWS CodePipeline 身分型政策範例](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 # AWS CodePipeline 如何使用 IAM 在您使用 IAM 管理 CodePipeline 的存取權之前，您應該了解哪些 IAM 功能可與 CodePipeline 搭配使用。若要全面了解 CodePipeline 和其他 AWS 服務 如何與 IAM 搭配使用，請參閱《[AWS 服務 IAM 使用者指南》中的 與 IAM 搭配使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** **Topics** + [CodePipeline 身分型政策](#security_iam_service-with-iam-id-based-policies) + [CodePipeline 資源型政策](#security_iam_service-with-iam-resource-based-policies) + [以 CodePipeline 標籤為基礎的授權](#security_iam_service-with-iam-tags) + [CodePipeline IAM 角色](#security_iam_service-with-iam-roles) ## CodePipeline 身分型政策 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。CodePipeline 支援特定動作、資源和條件索引鍵。若要了解您在 JSON 政策中使用的所有元素，請參閱 *IAM 使用者指南*中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 動作 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 CodePipeline 中的政策動作在動作之前使用下列字首：`codepipeline:`。 例如，若要准許某人檢視帳戶中現有的管道，您需要在其政策中加入 `codepipeline:GetPipeline` 動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。CodePipeline 會定義自己的一組動作，描述您可以使用此服務執行的任務。 若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示： ``` "Action": [ "codepipeline:action1", "codepipeline:action2" ``` 您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Get` 文字的所有動作，請包含以下動作： ``` "Action": "codepipeline:Get*" ``` 如需 CodePipeline 動作的清單，請參閱《*IAM 使用者指南*》中的 [定義的動作 AWS CodePipeline](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscodepipeline.html#awscodepipeline-actions-as-permissions)。 ### Resources 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` #### 資源和操作 在 中，主要資源是管道。在政策中，您會使用 Amazon Resource Name (ARN) 識別政策適用的資源。 支援可搭配主要資源使用的其他資源，例如階段、動作和自訂動作。這些資源稱為「子資源」。這些資源和子資源各與唯一的 Amazon Resource Name (ARN) 相關聯。如需 ARNs 的詳細資訊，請參閱《》中的 [Amazon Resource Names (ARN) 和 AWS 服務 命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)*Amazon Web Services 一般參考*。若要取得與管道相關聯的管道 ARN，您可以在 主控台**的設定**下找到管道 ARN。如需詳細資訊，請參閱[檢視管道 ARN 和服務角色 ARN （主控台）](pipelines-settings-console.md)。 | 資源類型 | ARN 格式 | | --- | --- | | 管道 | arn：aws：codepipeline：*region*：*account*：*pipeline-name* | | 階段 | arn：aws：codepipeline：*region*：*account*：*pipeline-name*/*stage-name* | | Action | arn：aws：codepipeline：*region*：*account*：*pipeline-name*/*stage-name*/*action-name* | | 自訂動作 | arn：aws：codepipeline：region：account：actiontype：owner/category/provider/version | | 所有 資源 | arn：aws：codepipeline：\$1 | | 在指定區域中，指定之帳戶擁有的所有 資源 | arn：aws：codepipeline：*region*：*account*：\$1 | **注意** 中的大多數服務 AWS 會將冒號 (：) 或正斜線 (/) 視為 ARNs中的相同字元。但是， 會在事件模式和規則中使用精確比對。在建立事件模式時，請務必使用正確的 ARN 字元，使這些字元符合您要匹配管道中的 ARN 語法。 在 中，有些 API 呼叫支援資源層級許可。資源層級許可表示 API 呼叫是否能指定資源 ARN，或是 API 呼叫是否可以使用萬用字元指定所有資源。[許可參考](permissions-reference.md) 如需資源層級許可的詳細說明，以及支援資源層級許可的 CodePipeline API 呼叫清單，請參閱 。 例如，您可以指出您陳述式中的特定管道 (*myPipeline*) 其他使用其 ARN： ``` "Resource": "arn:aws:codepipeline:us-east-2:111222333444:myPipeline" ``` 您也可以透過使用 (\$1) 萬用字元指定所有屬於特定帳戶的管道，如下所示： ``` "Resource": "arn:aws:codepipeline:us-east-2:111222333444:*" ``` 若要指定所有資源，或如果特定的 API 動作不支援 ARN，請在 `Resource` 元素中使用 (\$1) 萬用字元，如下所示： ``` "Resource": "*" ``` **注意** 當您建立 IAM 政策時，請遵循授予最低權限的標準安全建議，也就是僅授予執行任務所需的許可。若 API 呼叫支援 ARN，表示其支援資源層級許可，您無須使用 (\$1) 萬用字元。​ 有些 API 呼叫接受多個資源 （例如 `GetPipeline`)。若要在單一陳述式中指定多個資源，請用逗號分隔他們的 ARN，如下所示： ``` "Resource": ["arn1", "arn2"] ``` 提供一組操作來使用 資源。如需可用操作的清單，請參閱 [許可參考](permissions-reference.md)。 ### 條件索引鍵 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 CodePipeline 會定義自己的一組條件索引鍵，也支援使用一些全域條件索引鍵。若要查看所有 AWS 全域條件金鑰，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 所有 Amazon EC2 操作都支援 `aws:RequestedRegion` 和 `ec2:Region` 條件索引鍵。如需詳細資訊，請參閱[範例：將存取限制在特定區域](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ExamplePolicies_EC2.html#iam-example-region)。 若要查看 CodePipeline 條件金鑰清單，請參閱《*IAM 使用者指南*》中的 [的條件金鑰 AWS CodePipeline](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscodepipeline.html#awscodepipeline-policy-keys)。若要了解您可以使用條件金鑰的動作和資源，請參閱 [定義的動作 AWS CodePipeline](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscodepipeline.html#awscodepipeline-actions-as-permissions)。 ### 範例 若要檢視 CodePipeline 身分型政策的範例，請參閱 [AWS CodePipeline 身分型政策範例](security_iam_id-based-policy-examples.md)。 ## CodePipeline 資源型政策 CodePipeline 不支援以資源為基礎的政策。不過，會提供與 CodePipeline 相關的 S3 服務的資源型政策範例。 ### 範例 若要檢視 CodePipeline 資源型政策的範例，請參閱 [AWS CodePipeline 資源型政策範例](security_iam_resource-based-policy-examples.md)， ## 以 CodePipeline 標籤為基礎的授權 您可以將標籤連接至 CodePipeline 資源，或在請求中將標籤傳遞至 CodePipeline。如需根據標籤控制存取，請使用 `codepipeline:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。如需標記 CodePipeline 資源的詳細資訊，請參閱 [標記 資源](tag-resources.md)。 若要檢視身分型政策範例，以根據該資源上的標籤來限制存取資源，請參閱 [使用標籤控制 CodePipeline 資源的存取](tag-based-access-control.md)。 ## CodePipeline IAM 角色 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。 ### 搭配 CodePipeline 使用臨時登入資料 您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。 CodePipeline 支援使用臨時登入資料。 ### 服務角色 CodePipeline 允許服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，且由該帳戶所擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。 CodePipeline 支援服務角色。 # AWS CodePipeline 身分型政策範例 根據預設，IAM 使用者和角色沒有建立或修改 CodePipeline 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予使用者和角色在指定資源上執行特定 API 作業的所需許可。管理員接著必須將這些政策連接至需要這些許可的 IAM 使用者或群組。 若要了解如何使用這些範例 JSON 原則文件建立 IAM 身分型原則，請參閱《*IAM 使用者指南*》中的[在 JSON 標籤上建立原則](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 若要了解如何建立使用其他帳戶資源的管道，以及相關範例政策，請參閱 [在 CodePipeline 中建立使用其他 AWS 帳戶資源的管道](pipelines-create-cross-account.md)。 **Topics** + [政策最佳實務](security_iam_service-with-iam-policy-best-practices.md) + [在主控台檢視資源](security-iam-resources-console.md) + [允許使用者檢視他們自己的許可](security_iam_id-based-policy-examples-view-own-permissions.md) + [身分型政策 (IAM) 範例](security-iam-id-policies-examples.md) + [使用標籤控制 CodePipeline 資源的存取](tag-based-access-control.md) + [使用主控台所需的許可](security-iam-permissions-console.md) + [在主控台中檢視運算日誌所需的許可](security-iam-permissions-console-logs.md) + [AWS 的 受管政策 AWS CodePipeline](managed-policies.md) + [客戶管理政策範例](#customer-managed-policies) # 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 CodePipeline 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 # 在主控台檢視資源 主控台需要 `ListRepositories`許可，才能顯示您登入 AWS 區域中 AWS 帳戶的儲存庫清單。主控台還包含 **Go to resource (移至資源)** 功能，可快速執行不區分大小寫的資源搜尋。此搜尋會在您登入的 AWS 區域中 AWS 的帳戶中執行。將會跨以下服務來顯示以下資源： + AWS CodeBuild：建置專案 + AWS CodeCommit：儲存庫 + AWS CodeDeploy：應用程式 + AWS CodePipeline：管道 若要跨所有服務中的資源執行此搜尋，您必須擁有以下許可： + AWS CodeBuild： `ListProjects` + CodeCommit：`ListRepositories` + CodeDeploy：`ListApplications` + CodePipeline：`ListPipelines` 如果您沒有某項服務的許可，則不會傳回該服務之資源的結果。即使您有許可來檢視資源，但如果有明確的 `Deny` 而無法檢視部分資源，則不會傳回這些資源。 # 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # 身分型政策 (IAM) 範例 您可以將政策連接到 IAM 身分。例如，您可以執行下列動作： + **將許可政策連接至您帳戶中的使用者或群組** – 若要授予使用者在主控台中檢視管道的許可，您可以將許可政策連接至使用者所屬的使用者或群組。 + **將許可政策連接至角色 (授予跨帳戶許可)**：您可以將身分識別型許可政策連接至 IAM 角色，藉此授予跨帳戶許可。例如，帳戶 A 中的管理員可以建立角色，將跨帳戶許可授予另一個 AWS 帳戶 （例如帳戶 B) 或 AWS 服務 ，如下所示： 1. 帳戶 A 管理員建立 IAM 角色，並將許可政策連接到可授與帳戶 A 中資源許可的角色。 1. 帳戶 A 管理員將信任政策連接至該角色，識別帳戶 B 做為可擔任該角的委託人。 1. 帳戶 B 管理員接著可以將擔任該角色的許可委派給帳戶 B 中的任何使用者。這樣做可讓帳戶 B 中的使用者建立或存取帳戶 A 中的資源。如果您想要授予擔任該角色的 AWS 服務 許可，則信任政策中的委託人也可以是 AWS 服務 委託人。 如需使用 IAM 來委派許可的相關資訊，請參閱《IAM 使用者指南》**中的[存取管理](https://docs.aws.amazon.com/IAM/latest/UserGuide/access.html)。 以下顯示許可政策範例，該政策授予許可，以停用和啟用 中名為 之管道`MyFirstPipeline`中所有階段之間的轉換`us-west-2 region`： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "codepipeline:EnableStageTransition", "codepipeline:DisableStageTransition" ], "Resource" : [ "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline/*" ] } ] } ``` ------ 下列範例顯示 111222333444 帳戶中的政策，允許使用者在主控台`MyFirstPipeline`中檢視名為 的管道，但不能變更。此政策以 `AWSCodePipeline_ReadOnlyAccess` 受管政策為基礎，但因為是 `MyFirstPipeline` 管道所特有，因此無法直接使用受管政策。若您不希望將政策限制在特定管道，請考慮使用 所建立及維護的其中一個受管政策。如需詳細資訊，請參閱[處理受管政策的相關文章](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-using.html)。您必須將此政策連接至您為存取而建立的 IAM 角色，例如名為 的角色`CrossAccountPipelineViewers`： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "codepipeline:GetPipeline", "codepipeline:GetPipelineState", "codepipeline:GetPipelineExecution", "codepipeline:ListPipelineExecutions", "codepipeline:ListActionExecutions", "codepipeline:ListActionTypes", "codepipeline:ListPipelines", "codepipeline:ListTagsForResource", "iam:ListRoles", "s3:ListAllMyBuckets", "codecommit:ListRepositories", "codedeploy:ListApplications", "lambda:ListFunctions", "codestar-notifications:ListNotificationRules", "codestar-notifications:ListEventTypes", "codestar-notifications:ListTargets" ], "Effect": "Allow", "Resource": "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline" }, { "Action": [ "codepipeline:GetPipeline", "codepipeline:GetPipelineState", "codepipeline:GetPipelineExecution", "codepipeline:ListPipelineExecutions", "codepipeline:ListActionExecutions", "codepipeline:ListActionTypes", "codepipeline:ListPipelines", "codepipeline:ListTagsForResource", "iam:ListRoles", "s3:GetBucketPolicy", "s3:GetObject", "s3:ListBucket", "codecommit:ListBranches", "codedeploy:GetApplication", "codedeploy:GetDeploymentGroup", "codedeploy:ListDeploymentGroups", "elasticbeanstalk:DescribeApplications", "elasticbeanstalk:DescribeEnvironments", "lambda:GetFunctionConfiguration", "opsworks:DescribeApps", "opsworks:DescribeLayers", "opsworks:DescribeStacks" ], "Effect": "Allow", "Resource": "*" }, { "Sid": "CodeStarNotificationsReadOnlyAccess", "Effect": "Allow", "Action": [ "codestar-notifications:DescribeNotificationRule" ], "Resource": "*", "Condition": { "ArnLike": { "codestar-notifications:NotificationsForResource": "arn:aws:iam::*:role/Service*" } } } ] } ``` ------ 建立此政策後，請在 111222333444 帳戶中建立 IAM 角色，並將政策連接至該角色。在角色的信任關係中，您必須新增將擔任此角色 AWS 的帳戶。下列範例顯示的政策允許來自 *111111111111* AWS 帳戶的使用者擔任 111222333444 帳戶中定義的角色： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111111111111:root" }, "Action": "sts:AssumeRole" } ] } ``` ------ 下列範例顯示在 *111111111111* AWS 帳戶中建立的政策，允許使用者在 111222333444 帳戶中擔任名為 *CrossAccountPipelineViewers* 的角色： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "sts:AssumeRole", "Resource": "arn:aws:iam::111222333444:role/CrossAccountPipelineViewers" } ] } ``` ------ 您可以建立 IAM 政策來限制您帳戶中使用者可存取的呼叫和資源，然後將這些政策連接到您的管理使用者。如需如何建立 IAM 角色和探索 IAM 政策陳述式範例的詳細資訊，請參閱 [客戶管理政策範例](security_iam_id-based-policy-examples.md#customer-managed-policies)。 # 使用標籤控制 CodePipeline 資源的存取 IAM 政策陳述式中的條件是您用來指定 CodePipeline 動作所需資源許可的語法的一部分。在條件中使用標記是控制資源和請求的存取權限的方式之一。如需標記 CodePipeline 資源的資訊，請參閱 [標記 資源](tag-resources.md)。本主題討論的是標記型的存取控制。 設計 IAM 政策時，您可能會透過授予對特定資源的存取來設定精細許可。隨著您管理的資源數量增加，此任務變得越來越困難。標記資源並在政策陳述式條件中使用標籤，可讓此任務更輕鬆。您可以對具有特定標籤的任何資源大量授予存取。然後，您會在建立期間或之後，對相關資源重複套用此標籤。 可以將標記連接到資源或在請求中將標記傳遞至支援標記的服務。在 CodePipeline 中，資源可以有標籤，而某些動作可以包含標籤。在建立 IAM 政策時，可使用標記條件鍵來控制以下項目： + 可在管道資源上執行動作的使用者 (根據資源已具有的標籤)。 + 可在動作請求中傳遞的標籤。 + 請求中是否可使用特定的標籤鍵。 運用字串條件運算子，您可以建構以索引鍵與字串值的對比為基礎來限制存取的 `Condition` 元素。除了 Null 條件之外，您可以將 `IfExists` 新增至任何條件運算子名稱的結尾。如果您是指「如果請求的內容中存在政策索引鍵，則依照政策所述來處理索引鍵。如果該索引鍵不存在，則評估條件元素為 true。」 例如，您可以使用 `StringEqualsIfExists` 來限制條件索引鍵，這些索引鍵可能不存在於其他類型的資源上。 如需標籤條件索引鍵的完整語法和語意，請參閱[使用標籤控制存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html)。如需條件索引鍵的其他資訊，請參閱下列資源。本節中的 CodePipeline 政策範例與下列有關條件索引鍵的資訊一致，並使用 CodePipeline 的細微差別範例進行擴展，例如資源巢狀化。 + [字串條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_String) + [AWS 服務 可搭配 IAM 使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) + [SCP 語法](https://docs.aws.amazon.com/IAM/latest/UserGuide/orgs_manage_policies_scps_syntax.html) + [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) + [aws：RequestTag/tag-key](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-requesttag) + [CodePipeline 的條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awscodepipeline.html#awscodepipeline-policy-keys) 下列範例示範如何在 CodePipeline 使用者的政策中指定標籤條件。 **Example 1：根據請求中的標籤限制動作** `AWSCodePipeline_FullAccess` 受管使用者政策可讓使用者無限制地對任何資源執行任何 CodePipeline 動作。 下列政策會限制此能力，並拒絕未經授權的使用者建立管道的許可，其中特定標籤會列在請求中。為了達到此種效果，如果該請求指定了名為 `Project` 的標記，含有 `ProjectA` 或 `ProjectB` 的其中一值，其會拒絕 `CreatePipeline` 動作。( `aws:RequestTag` 條件索引鍵用來控制哪些標籤可在 IAM 請求中傳遞。) 在下列範例中，政策的目的是拒絕未經授權的使用者建立具有指定標籤值之管道的許可。不過，建立管道需要存取管道本身以外的資源 （例如管道動作和階段）。由於政策中`'Resource'`指定的 是 `'*'`，因此政策會根據每個具有 ARN 的資源進行評估，並在建立管道時建立。這些額外的資源沒有標籤條件索引鍵，因此`StringEquals`檢查會失敗，而且不會授予使用者建立任何管道的能力。若要解決此問題，請改用 `StringEqualsIfExists` 條件運算子。如此一來，僅有在條件索引鍵存在時才會進行測試。 您可以讀取下列項目：「如果要檢查的資源具有標籤`"RequestTag/Project"`條件索引鍵，則只有在索引鍵值以 開頭時，才允許 動作`projectA`。如果正在檢查的資源沒有該條件索引鍵，則無需擔心它。』 此外，此政策會防止這些未經授權的使用者竄改 資源，方法是使用 `aws:TagKeys`條件索引鍵不允許標籤修改動作包含這些相同的標籤值。除了 受管使用者政策之外，客戶的管理員還必須將此 IAM 政策連接到未經授權的管理使用者。 **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "codepipeline:CreatePipeline", "codepipeline:TagResource" ], "Resource": "*", "Condition": { "StringEqualsIfExists": { "aws:RequestTag/Project": ["ProjectA", "ProjectB"] } } }, { "Effect": "Deny", "Action": [ "codepipeline:UntagResource" ], "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": ["Project"] } } } ] } ``` **Example 2：根據資源標籤限制標記動作** `AWSCodePipeline_FullAccess` 受管使用者政策可讓使用者無限制地對任何資源執行任何 CodePipeline 動作。 以下政策限制此能力，拒絕未經授權的使用者在特定專案管道上執行動作。在作法上，如果資源有名為 `Project` 的標記，且值為 `ProjectA` 或 `ProjectB`，則拒絕某些動作。(`aws:ResourceTag` 條件索引鍵用於依據資源上的標籤來控制資源的存取。) 除了受管使用者政策之外，客戶的管理員必須將此 IAM 政策連接到未授權的 IAM 使用者。 **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "codepipeline:TagResource" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/Project": ["ProjectA", "ProjectB"] } } } ] } ``` **Example 3：根據請求中的標籤允許動作** 下列政策授予使用者在 CodePipeline 中建立開發管道的許可。 若要這樣做，它會在請求指定名為 `Project` 且值為 `ProjectA` 的標籤時允許 `CreatePipeline` 和 `TagResource` 動作。換句話說，唯一可以指定的標籤索引鍵是 `Project`，其值必須是 `ProjectA`。 `aws:RequestTag` 條件索引鍵用於控制哪些標籤可以在 IAM 請求中傳遞。`aws:TagKeys` 條件可確保標籤索引鍵區分大小寫。此政策適用於未連接`AWSCodePipeline_FullAccess`受管使用者政策的使用者或角色。受管政策可讓使用者無限制地對任何資源執行任何 CodePipeline 動作。 **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:CreatePipeline", "codepipeline:TagResource" ], "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/Project": "ProjectA" }, "ForAllValues:StringEquals": { "aws:TagKeys": ["Project"] } } } ] } ``` **Example 4：根據資源標籤限制取消標記動作** `AWSCodePipeline_FullAccess` 受管使用者政策可讓使用者無限制地對任何資源執行任何 CodePipeline 動作。 以下政策限制此能力，拒絕未經授權的使用者在特定專案管道上執行動作。在作法上，如果資源有名為 `Project` 的標記，且值為 `ProjectA` 或 `ProjectB`，則拒絕某些動作。 此外，此政策會防止這些未經授權的使用者竄改 資源，方法是使用 `aws:TagKeys`條件金鑰不允許標籤修改動作完全移除`Project`標籤。除了 受管使用者政策之外，客戶的管理員必須將此 IAM 政策連接到未經授權的使用者或角色。 **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "codepipeline:UntagResource" ], "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": ["Project"] } } } ] } ``` # 使用主控台所需的許可 若要在 主控台使用 ，您至少必須具有下列服務的一組許可： + AWS Identity and Access Management + Amazon Simple Storage Service 這些許可可讓您描述 AWS 帳戶的其他 AWS 資源。 根據您納入管道中的其他服務而定，您可能需要以下一或多個項目的許可： + AWS CodeCommit + AWS CodeBuild + CloudFormation + AWS CodeDeploy + AWS Elastic Beanstalk + AWS Lambda + AWS OpsWorks 如果您建立比最基本必要許可更嚴格的 IAM 政策，則對於採取該 IAM 政策的使用者而言，主控台就無法如預期運作。為確保這些使用者仍可使用主控台，也請將 `AWSCodePipeline_ReadOnlyAccess` 受管政策連接至使用者，如[AWS 的 受管政策 AWS CodePipeline](managed-policies.md)所述。 對於正在呼叫 AWS CLI 或 API 的使用者，您不需要允許最低主控台許可。 # 在主控台中檢視運算日誌所需的許可 若要在 CodePipeline 主控台的命令動作中檢視日誌，主控台角色必須具有 許可。若要在主控台中檢視日誌，請將`logs:GetLogEvents`許可新增至主控台角色。 在主控台角色政策陳述式中，將許可範圍縮小至管道層級，如下列範例所示。 ``` { "Effect": "Allow", "Action": [ "Action": "logs:GetLogEvents" ], "Resource": "arn:aws:logs:*:YOUR_AWS_ACCOUNT_ID:log-group:/aws/codepipeline/YOUR_PIPELINE_NAME:*" } ``` # AWS 的 受管政策 AWS CodePipeline AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有委託人身分 （使用者、群組和角色）。 AWS 服務 當新的 啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 **重要** AWS 受管政策 `AWSCodePipelineFullAccess` 和 `AWSCodePipelineReadOnlyAccess` 已取代。使用 `AWSCodePipeline_FullAccess`和 `AWSCodePipeline_ReadOnlyAccess`政策。 ## AWS 受管政策： `AWSCodePipeline_FullAccess` 這是授予 CodePipeline 完整存取權的政策。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱 [AWSCodePipeline\$1FullAccess](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSCodePipeline_FullAccess)。 **許可詳細資訊** 此政策包含以下許可。 + `codepipeline` – 授予 CodePipeline 許可。 + `chatbot` – 准許主體在聊天應用程式中管理 Amazon Q Developer 中的資源。 + `cloudformation` – 准許主體管理其中的資源堆疊 CloudFormation。 + `cloudtrail` – 准許主體管理 CloudTrail 中的記錄資源。 + `codebuild` – 准許主體存取 CodeBuild 中的建置資源。 + `codecommit` – 准許主體存取 CodeCommit 中的來源資源。 + `codedeploy` – 准許主體存取 CodeDeploy 中的部署資源。 + `codestar-notifications` – 准許主體存取 AWS CodeStar Notifications 中的資源。 + `ec2` – 授予許可，以允許 CodeCatalyst 中的部署管理 Amazon EC2 中的彈性負載平衡。 + `ecr` – 准許存取 Amazon ECR 中的資源。 + `elasticbeanstalk` – 准許主體存取 Elastic Beanstalk 中的資源。 + `iam` – 准許主體在 IAM 中管理角色和政策。 + `lambda` – 准許主體管理 Lambda 中的資源。 + `events` – 准許主體管理 CloudWatch Events 中的資源。 + `opsworks` – 准許主體管理 資源 AWS OpsWorks。 + `s3` – 准許主體管理 Amazon S3 中的資源。 + `sns` – 准許主體管理 Amazon SNS 中的通知資源。 + `states` – 准許主體檢視其中的狀態機器 AWS Step Functions。狀態機器包含管理任務和狀態之間轉換的 狀態集合。 如需政策，請參閱 [AWSCodePipeline\$1FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCodePipeline_FullAccess.html)。 ## AWS 受管政策： `AWSCodePipeline_ReadOnlyAccess` 這是授予 CodePipeline 唯讀存取權的政策。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱 [AWSCodePipeline\$1ReadOnlyAccess](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSCodePipeline_ReadOnlyAccess)。 **許可詳細資訊** 此政策包含以下許可。 + `codepipeline` – 授予 CodePipeline 中動作的許可。 + `codestar-notifications` – 准許主體存取 AWS CodeStar Notifications 中的資源。 + `s3` – 准許主體管理 Amazon S3 中的資源。 + `sns` – 准許主體管理 Amazon SNS 中的通知資源。 如需政策，請參閱 [AWSCodePipeline\$1ReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCodePipeline_ReadOnlyAccess.html)。 ## AWS 受管政策： `AWSCodePipelineApproverAccess` 這是授予許可以核准或拒絕手動核准動作的政策。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱 [AWSCodePipelineApproverAccess](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSCodePipelineApproverAccess)。 **許可詳細資訊** 此政策包含以下許可。 + `codepipeline` – 授予 CodePipeline 中動作的許可。 如需政策，請參閱 [AWSCodePipelineApproverAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCodePipelineApproverAccess.html)。 ## AWS 受管政策： `AWSCodePipelineCustomActionAccess` 這是授予在 CodePipeline 中建立自訂動作或整合 Jenkins 資源以進行建置或測試動作之許可的政策。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱 [AWSCodePipelineCustomActionAccess](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSCodePipelineCustomActionAccess)。 **許可詳細資訊** 此政策包含以下許可。 + `codepipeline` – 授予 CodePipeline 中動作的許可。 如需政策，請參閱 [AWSCodePipelineCustomActionAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCodePipelineCustomActionAccess.html)。 ## CodePipeline 受管政策和通知 CodePipeline 支援通知，可通知使用者管道的重要變更。CodePipeline 的受管政策包含通知功能的政策陳述式。如需詳細資訊，請參閱[什麼是通知？](https://docs.aws.amazon.com/codestar-notifications/latest/userguide/welcome.html)。 ### 完整存取受管政策中的通知相關許可 此受管政策會授予 CodePipeline 的許可，以及相關的服務 CodeCommit、CodeBuild、CodeDeploy 和 AWS CodeStar Notifications。此政策也會授予使用與管道整合的其他 服務所需的許可，例如 Amazon S3、Elastic Beanstalk、CloudTrail、Amazon EC2 和 CloudFormation。套用此受管政策的使用者也可以為通知建立和管理 Amazon SNS 主題、訂閱和取消訂閱使用者主題、列出要選擇做為通知規則目標的主題，以及在為 Slack 設定的聊天應用程式中列出 Amazon Q Developer。 `AWSCodePipeline_FullAccess` 受管政策包含下列陳述式，允許對通知的完整存取權限。 ``` { "Sid": "CodeStarNotificationsReadWriteAccess", "Effect": "Allow", "Action": [ "codestar-notifications:CreateNotificationRule", "codestar-notifications:DescribeNotificationRule", "codestar-notifications:UpdateNotificationRule", "codestar-notifications:DeleteNotificationRule", "codestar-notifications:Subscribe", "codestar-notifications:Unsubscribe" ], "Resource": "*", "Condition" : { "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} } }, { "Sid": "CodeStarNotificationsListAccess", "Effect": "Allow", "Action": [ "codestar-notifications:ListNotificationRules", "codestar-notifications:ListTargets", "codestar-notifications:ListTagsforResource", "codestar-notifications:ListEventTypes" ], "Resource": "*" }, { "Sid": "CodeStarNotificationsSNSTopicCreateAccess", "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:SetTopicAttributes" ], "Resource": "arn:aws:sns:*:*:codestar-notifications*" }, { "Sid": "SNSTopicListAccess", "Effect": "Allow", "Action": [ "sns:ListTopics" ], "Resource": "*" }, { "Sid": "CodeStarNotificationsChatbotAccess", "Effect": "Allow", "Action": [ "chatbot:DescribeSlackChannelConfigurations", "chatbot:ListMicrosoftTeamsChannelConfigurations" ], "Resource": "*" } ``` ### 唯讀受管政策中的通知相關許可 `AWSCodePipeline_ReadOnlyAccess` 受管政策包含下列陳述式，允許對通知的唯讀存取權限。套用此政策的使用者可以檢視資源的通知，但無法建立、管理或訂閱通知。 ``` { "Sid": "CodeStarNotificationsPowerUserAccess", "Effect": "Allow", "Action": [ "codestar-notifications:DescribeNotificationRule" ], "Resource": "*", "Condition" : { "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} } }, { "Sid": "CodeStarNotificationsListAccess", "Effect": "Allow", "Action": [ "codestar-notifications:ListNotificationRules", "codestar-notifications:ListEventTypes", "codestar-notifications:ListTargets" ], "Resource": "*" } ``` 如需 IAM 和通知的詳細資訊，請參閱 [AWS CodeStar通知的 Identity and Access Management](https://docs.aws.amazon.com/codestar-notifications/latest/userguide/security-iam.html)。 ## AWS CodePipeline AWS 受管政策的更新 檢視自此服務開始追蹤這些變更以來CodePipeline AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 CodePipeline [ 文件歷史記錄](https://docs.aws.amazon.com/codepipeline/latest/userguide/history.html)頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSCodePipeline\$1FullAccess](#security-iam-awsmanpol-AWSCodePipeline_FullAccess) – 現有政策的更新 | CodePipeline 為此政策新增了支援 ListStacks的許可 CloudFormation。 | 2024 年 3 月 15 日 | | [AWSCodePipeline\$1FullAccess](#security-iam-awsmanpol-AWSCodePipeline_FullAccess) – 現有政策的更新 | 此政策已更新，以在聊天應用程式中新增 Amazon Q Developer 的許可。如需詳細資訊，請參閱[CodePipeline 受管政策和通知](#notifications-permissions)。 | 2023 年 6 月 21 日 | | [AWSCodePipeline\$1FullAccess](#security-iam-awsmanpol-AWSCodePipeline_FullAccess) 和 [AWSCodePipeline\$1ReadOnlyAccess](#security-iam-awsmanpol-AWSCodePipeline_ReadOnlyAccess) 受管政策 – 現有政策的更新 | CodePipeline 新增了這些政策的許可，以支援在聊天應用程式中使用 Amazon Q Developer 的額外通知類型。 `chatbot:ListMicrosoftTeamsChannelConfigurations` | 2023 年 5 月 16 日 | | **AWSCodePipelineFullAccess** – 已棄用 | 此政策已被 `AWSCodePipeline_FullAccess` 取代。 2022 年 11 月 17 日之後，此政策無法連接到任何新使用者、群組或角色。如需詳細資訊，請參閱[AWS 的 受管政策 AWS CodePipeline](#managed-policies)。 | 2022 年 11 月 17 日 | | **AWSCodePipelineReadOnlyAccess** – 已棄用 | 此政策已被 `AWSCodePipeline_ReadOnlyAccess` 取代。 2022 年 11 月 17 日之後，此政策無法連接到任何新使用者、群組或角色。如需詳細資訊，請參閱[AWS 的 受管政策 AWS CodePipeline](#managed-policies)。 | 2022 年 11 月 17 日 | | CodePipeline 開始追蹤變更 | CodePipeline 開始追蹤其 AWS 受管政策的變更。 | 2021 年 3 月 12 日 | ## 客戶管理政策範例 在本節中，您可以找到授予各種 動作之許可的使用者政策範例。當您使用 API、 AWS SDKs或 時，這些政策即可運作 AWS CLI。當您使用主控台時，您必須對主控台授予特定的其他許可。如需詳細資訊，請參閱[使用主控台所需的許可](security-iam-permissions-console.md)。 **注意** 所有範例皆使用美國西部 (奧勒岡) 區域 (`us-west-2`) 及虛構帳戶 ID。 **範例** + [範例 1：授予許可，取得管道的狀態](#identity-based-policies-example-1) + [範例 2：授予許可，啟用和停用階段間的轉換](#identity-based-policies-example-2) + [範例 3：授予許可，取得所有可用動作類型的清單](#identity-based-policies-example-3) + [範例 4：授予許可，核准或拒絕手動核准動作](#identity-based-policies-example-4) + [範例 5：授予許可，輪詢自訂動作的任務](#identity-based-policies-example-5) + [範例 6：連接或編輯 Jenkins 與 AWS CodePipeline 整合的政策](#identity-based-policies-example-6) + [範例 7：設定管道的跨帳戶存取](#identity-based-policies-example-7) ### 範例 1：授予許可，取得管道的狀態 下列範例會授予許可，取得名為 `MyFirstPipeline` 的管道狀態： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:GetPipelineState" ], "Resource": "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline" } ] } ``` ------ ### 範例 2：授予許可，啟用和停用階段間的轉換 下列範例會授予許可，停用和啟用名為 `MyFirstPipeline` 的管道中所有階段間的轉換： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:DisableStageTransition", "codepipeline:EnableStageTransition" ], "Resource": "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline/*" } ] } ``` ------ 若要允許使用者停用和啟用管道中單一階段的轉換，您必須指定階段。例如，若要允許使用者在名為 `MyFirstPipeline` 的管道中，對名為 `Staging` 的階段啟用和停用轉換： ``` "Resource": "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline/Staging" ``` ### 範例 3：授予許可，取得所有可用動作類型的清單 下列範例授予許可，以取得 `us-west-2` 區域中的管道可用的所有動作類型的清單： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:ListActionTypes" ], "Resource": "arn:aws:codepipeline:us-west-2:111222333444:actiontype:*" } ] } ``` ------ ### 範例 4：授予許可，核准或拒絕手動核准動作 下列範例授予許可，在名為 `MyFirstPipeline` 的管道中名為 `Staging` 階段內，核准或拒絕手動核准動作： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:PutApprovalResult" ], "Resource": "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline/Staging/*" } ] } ``` ------ ### 範例 5：授予許可，輪詢自訂動作的任務 下列範例授予許可，以輪詢名為 `TestProvider` 的自訂動作在所有管道中的任務，而該動作的第一個版本為 `Test` 動作類型： **注意** 自訂動作的任務工作者可以在不同的 AWS 帳戶下設定，或需要特定的 IAM 角色才能運作。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:PollForJobs" ], "Resource": [ "arn:aws:codepipeline:us-west-2:111222333444:actionType:Custom/Test/TestProvider/1" ] } ] } ``` ------ ### 範例 6：連接或編輯 Jenkins 與 AWS CodePipeline 整合的政策 如果您將管道設定為使用 Jenkins 進行建置或測試，請為該整合建立單獨的身分，並連接具有 Jenkins 和 之間整合所需最低許可的 IAM 政策。此政策與 `AWSCodePipelineCustomActionAccess` 受管政策相同。下列範例顯示 Jenkins 整合的政策： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:AcknowledgeJob", "codepipeline:GetJobDetails", "codepipeline:PollForJobs", "codepipeline:PutJobFailureResult", "codepipeline:PutJobSuccessResult" ], "Resource": "*" } ] } ``` ------ ### 範例 7：設定管道的跨帳戶存取 您可以為另一個 AWS 帳戶中的使用者和群組設定管道存取。建議的方法是在建立管道的帳戶中建立角色。該角色應允許其他 AWS 帳戶的使用者擔任該角色並存取管道。如需詳細資訊，請參閱[演練：使用角色進行跨帳戶存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/walkthru_cross-account-with-roles.html)。 下列範例顯示 80398EXAMPLE 帳戶中的政策，允許使用者在 主控台`MyFirstPipeline`中檢視名為 的管道，但不能變更。此政策以 `AWSCodePipeline_ReadOnlyAccess` 受管政策為基礎，但因為是 `MyFirstPipeline` 管道所特有，因此無法直接使用受管政策。若您不希望將政策限制在特定管道，請考慮使用 所建立及維護的其中一個受管政策。如需詳細資訊，請參閱[處理受管政策的相關文章](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-using.html)。您必須將此政策連接至您為存取而建立的 IAM 角色，例如名為 的角色`CrossAccountPipelineViewers`： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "codepipeline:GetPipeline", "codepipeline:GetPipelineState", "codepipeline:ListActionTypes", "codepipeline:ListPipelines", "iam:ListRoles", "s3:GetBucketPolicy", "s3:GetObject", "s3:ListAllMyBuckets", "s3:ListBucket", "codedeploy:GetApplication", "codedeploy:GetDeploymentGroup", "codedeploy:ListApplications", "codedeploy:ListDeploymentGroups", "elasticbeanstalk:DescribeApplications", "elasticbeanstalk:DescribeEnvironments", "lambda:GetFunctionConfiguration", "lambda:ListFunctions" ], "Resource": "arn:aws:codepipeline:us-east-2:111122223333:MyFirstPipeline" } ] } ``` ------ 建立此政策後，請在 80398EXAMPLE 帳戶中建立 IAM 角色，並將政策連接至該角色。在角色的信任關係中，您必須新增擔任此角色 AWS 的帳戶。 下列範例顯示在 *111111111111* AWS 帳戶中建立的政策，允許使用者擔任 80398EXAMPLE 帳戶中名為 `CrossAccountPipelineViewers` 的角色： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "sts:AssumeRole", "Resource": "arn:aws:iam::111122223333:role/CrossAccountPipelineViewers" } ] } ``` ------ # AWS CodePipeline 資源型政策範例 **Topics** 其他服務 (例如 Amazon S3) 也支援以資源為基礎的許可政策。例如，您可以將政策連接至 S3 儲存貯體，以管理該儲存貯體的存取許可。雖然 CodePipeline 不支援以資源為基礎的政策，但它確實會將成品用於版本控制的 S3 儲存貯體中的管道。 **Example 為 S3 儲存貯體建立政策，以用作 CodePipeline 的成品存放區** 您可以使用任何版本控制的 S3 儲存貯體做為 CodePipeline 的成品存放區。若您使用 **​Create Pipeline (建立管道)** 精靈建立第一個管道，則會為您建立此 S3 儲存貯體，以確保所有上傳至成品存放區的物件都經過加密，且儲存貯體的連線也很安全。若您建立自己的 S3 儲存貯體，根據最佳實務，請考慮將下列政策或其元素新增至儲存貯體。在此政策中，S3 儲存貯體的 ARN 為 `codepipeline-us-east-2-1234567890`。以您的 S3 儲存貯體的 ARN 取代此 ARN： **** ``` { "Version":"2012-10-17", "Id": "SSEAndSSLPolicy", "Statement": [ { "Sid": "DenyUnEncryptedObjectUploads", "Effect": "Deny", "Principal": "*", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*", "Condition": { "StringNotEquals": { "s3:x-amz-server-side-encryption": "aws:kms" } } }, { "Sid": "DenyInsecureConnections", "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*", "Condition": { "Bool": { "aws:SecureTransport": false } } } ] } ``` # 對 AWS CodePipeline 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 CodePipeline 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 CodePipeline 中執行動作](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我是管理員，想要允許其他人存取 CodePipeline](#security_iam_troubleshoot-admin-delegate) + [我想要允許 AWS 帳戶外的人員存取我的 CodePipeline 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 CodePipeline 中執行動作 如果 AWS 管理主控台 通知您無權執行 動作，您必須聯絡您的管理員尋求協助。您的管理員是提供您使用者名稱和密碼的人員。 當 IAM `mateojackson` 使用者嘗試使用主控台檢視管道的詳細資訊，但沒有`codepipeline:GetPipeline`許可時，會發生下列範例錯誤。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: codepipeline:GetPipeline on resource: my-pipeline ``` 在此情況下，Mateo 會請求管理員更新他的政策，允許他使用 `my-pipeline` 動作存取 `codepipeline:GetPipeline` 資源。 ## 我未獲得執行 iam:PassRole 的授權 若您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您必須聯絡管理員以取得協助。您的管理員是提供您使用者名稱和密碼的人員。請該人員更新您的政策，以允許您將角色傳遞至 CodePipeline。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 CodePipeline 中執行動作時，會發生下列範例錯誤。不過， 動作需要服務具有服務角色授予的許可。Mary 沒有將角色傳遞至該服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 會請求管理員更新她的政策，允許她執行 `iam:PassRole` 動作。 ## 我是管理員，想要允許其他人存取 CodePipeline 若要允許其他人存取 CodePipeline，您必須將許可授予需要存取的人員或應用程式。如果您使用 AWS IAM Identity Center 管理人員和應用程式，您可以將許可集指派給使用者或群組，以定義其存取層級。許可集會自動建立 IAM 政策，並將其指派給與該人員或應用程式相關聯的 IAM 角色。如需詳細資訊，請參閱*AWS IAM Identity Center 《 使用者指南*》中的[許可集](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)。 如果您不是使用 IAM Identity Center，則必須為需要存取的人員或應用程式建立 IAM 實體 （使用者或角色）。然後，您必須將政策連接到實體，以授予他們 CodePipeline 中的正確許可。授予許可後，請將登入資料提供給使用者或應用程式開發人員。他們將使用這些登入資料來存取 AWS。若要進一步了解如何建立 IAM 使用者、群組、政策和許可，請參閱《IAM **[使用者指南》中的 IAM 身分](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)[和政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 ## 我想要允許 AWS 帳戶外的人員存取我的 CodePipeline 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 CodePipeline 是否支援這些功能，請參閱 [AWS CodePipeline 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 許可參考 當您設定存取控制和撰寫可連接到 IAM 身分的許可政策 （以身分為基礎的政策） 時，請使用下表做為參考。下表列出每個 API 操作和對應的動作，您可以針對這些項目授予執行動作的許可。對於支援*資源層級許可*的操作，資料表會列出您可以授予許可 AWS 的資源。您可以在政策的 `Action` 欄位中指定動作。 *資源層級許可*是可讓您指定允許使用者對哪些資源執行動作的許可。 AWS CodePipeline 提供資源層級許可的部分支援。這表示對於某些 AWS CodePipeline API 呼叫，您可以根據必須符合的條件，或允許使用者使用的資源，控制何時允許使用者使用這些動作。例如，您可以授予使用者許可，列出管道執行資訊，但僅限特定管道。 **注意** **Resources (資源)** 欄會列出支援資源層級許可之 API 呼叫所需的資源。對於不支援資源層級許可的 API 呼叫，您可以授與使用者使用該呼叫的許可，但您必須針對政策說明中的資源元素指定萬用字元 (\$1)。 **API 操作和動作的必要許可** [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/codepipeline/latest/userguide/permissions-reference.html) # 管理 CodePipeline 服務角色 服務角色是使用一或多個政策來設定，以控制對管道所用 AWS 資源的存取。您可能想要將更多政策連接至此角色、編輯連接至角色的政策，或為其他 服務角色設定政策 AWS。在設定跨帳戶存取您的管道時，您可能也會想要將政策連接到角色。 **重要** 修改政策說明或將其他政策連接到角色，可能會導致您的管道停止運作。請在以任何方式修改 的服務角色前務必確認您了解其含意。對服務角色進行任何變更之後，務必測試您的管道。 **注意** 在主控台，在 2018 年 9 月之前建立的服務角色是以名稱 `oneClick_AWS-CodePipeline-Service_ID-Number` 建立。 2018 年 9 月之後建立的服務角色使用服務角色名稱格式 `AWSCodePipelineServiceRole-Region-Pipeline_Name`。例如，對於 `MyFirstPipeline`中名為 的管道`eu-west-2`，主控台會命名角色和政策 `AWSCodePipelineServiceRole-eu-west-2-MyFirstPipeline`。 ## CodePipeline 服務角色政策 CodePipeline 服務角色政策陳述式包含管理管道的最低許可。您可以編輯服務角色陳述式，以移除或新增對您未使用之資源的存取權。如需 CodePipeline 用於每個動作的最低必要許可，請參閱適當的動作參考。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowS3BucketAccess", "Effect": "Allow", "Action": [ "s3:GetBucketVersioning", "s3:GetBucketAcl", "s3:GetBucketLocation" ], "Resource": [ "arn:aws:s3:::[[pipeArtifactBucketNames]]" ], "Condition": { "StringEquals": { "aws:ResourceAccount": "{{accountId}}" } } }, { "Sid": "AllowS3ObjectAccess", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectAcl", "s3:GetObject", "s3:GetObjectVersion", "s3:PutObjectTagging", "s3:GetObjectTagging", "s3:GetObjectVersionTagging" ], "Resource": [ "arn:aws:s3:::[[pipeArtifactBucketNames]]/*" ], "Condition": { "StringEquals": { "aws:ResourceAccount": "{{accountId}}" } } } ] } ``` ------ **注意** 在政策中，當來源儲存貯體中的 S3 物件具有標籤時，需要下列許可： ``` s3:PutObjectTagging s3:GetObjectTagging s3:GetObjectVersionTagging ``` ## 從 CodePipeline 服務角色移除許可 您可以編輯服務角色說明，移除您未使用的資源存取。例如，如果沒有任何管道包含 Elastic Beanstalk，您可以編輯政策陳述式來移除授予 Elastic Beanstalk 資源存取權的區段。 同樣地，如果沒有任何管道包含 CodeDeploy，您可以編輯政策陳述式來移除授予 CodeDeploy 資源存取權的區段： ``` { "Action": [ "codedeploy:CreateDeployment", "codedeploy:GetApplicationRevision", "codedeploy:GetDeployment", "codedeploy:GetDeploymentConfig", "codedeploy:RegisterApplicationRevision" ], "Resource": "*", "Effect": "Allow" }, ``` ## 將許可新增至 CodePipeline 服務角色 您必須使用預設服務角色政策陳述式中 AWS 服務 未包含的 許可來更新服務角色政策陳述式，才能在管道中使用它。 如果您用於管道的服務角色是在 的支援新增至 之前建立的，這尤其重要 AWS 服務。 下表顯示何時新增其他 的支援 AWS 服務。 **** | AWS 服務 | CodePipeline 支援日期 | | --- | --- | | 已新增 CodePipeline 調用動作支援。請參閱 [CodePipeline 調用動作的服務角色政策許可](action-reference-PipelineInvoke.md#action-reference-PipelineInvoke-permissions-action)。 | 2025 年 3 月 14 日 | | EC2 新增 動作支援。請參閱 [EC2 部署動作的服務角色政策許可](action-reference-EC2Deploy.md#action-reference-EC2Deploy-permissions-action)。 | 2025 年 2 月 21 日 | | EKS 新增 動作支援。請參閱 [服務角色政策許可](action-reference-EKS.md#action-reference-EKS-service-role)。 | 2025 年 2 月 20 日 | | 新增了 Amazon Elastic Container Registry ECRBuildAndPublish動作支援。請參閱 [服務角色許可：`ECRBuildAndPublish`動作](action-reference-ECRBuildAndPublish.md#edit-role-ECRBuildAndPublish)。 | 2024 年 11 月 22 日 | | 新增 Amazon Inspector InspectorScan動作支援。請參閱 [服務角色許可：`InspectorScan`動作](action-reference-InspectorScan.md#edit-role-InspectorScan)。 | 2024 年 11 月 22 日 | | 新增命令動作支援。請參閱 [服務角色許可：命令動作](action-reference-Commands.md#edit-role-Commands)。 | 2024 年 10 月 3 日 | | CloudFormation 新增 動作支援。請參閱 [服務角色許可：`CloudFormationStackSet`動作](action-reference-StackSets.md#edit-role-cfn-stackset) 和 [服務角色許可：`CloudFormationStackInstances`動作](action-reference-StackSets.md#edit-role-cfn-stackinstances)。 | 2020 年 12 月 30 日 | | 已新增 CodeCommit 完整複製輸出成品格式動作支援。請參閱 [服務角色許可：CodeCommit 動作](action-reference-CodeCommit.md#edit-role-codecommit)。 | 2020 年 11 月 11 日 | | 已新增AWS CodeBuild 批次建置動作支援。請參閱 [服務角色許可：CodeCommit 動作](action-reference-CodeCommit.md#edit-role-codecommit)。 | 2020 年 7 月 30 日 | | 已新增AWS AppConfig 動作支援。請參閱 [服務角色許可：`AppConfig`動作](action-reference-AppConfig.md#edit-role-appconfig)。 | 2020 年 6 月 22 日 | | AWS Step Functions 新增 動作支援。請參閱 [服務角色許可：`StepFunctions`動作](action-reference-StepFunctions.md#edit-role-stepfunctions)。 | 2020 年 5 月 27 日 | | AWS CodeStar 已新增連線動作支援。請參閱 [服務角色許可：CodeConnections 動作](action-reference-CodestarConnectionSource.md#edit-role-connections)。 | 2019 年 12 月 18 日 | | 新增 S3 部署動作支援。請參閱 [服務角色許可：S3 部署動作](action-reference-S3Deploy.md#edit-role-s3deploy)。 | 2019 年 1 月 16 日 | | 新增CodeDeployToECS動作動作支援。請參閱 [服務角色許可：`CodeDeployToECS`動作](action-reference-ECSbluegreen.md#edit-role-codedeploy-ecs)。 | 2018 年 11 月 27 日 | | 已新增 Amazon ECR 動作支援。請參閱 [服務角色許可：Amazon ECR 動作](action-reference-ECR.md#edit-role-ecr)。 | 2018 年 11 月 27 日 | | 已新增 Service Catalog 動作支援。請參閱 [服務角色許可：Service Catalog 動作](action-reference-ServiceCatalog.md#edit-role-servicecatalog)。 | 2018 年 10 月 16 日 | | AWS Device Farm 新增 動作支援。請參閱 [服務角色許可： AWS Device Farm 動作](action-reference-DeviceFarm.md#edit-role-devicefarm)。 | 2018 年 7 月 19 日 | | 已新增 Amazon ECS 動作支援。請參閱 [服務角色許可：Amazon ECS 標準動作](action-reference-ECS.md#edit-role-ecs)。 | 2017 年 12 月 12 日/2017 年 7 月 21 日更新選擇加入標記授權 | | 已新增 CodeCommit 動作支援。請參閱 [服務角色許可：CodeCommit 動作](action-reference-CodeCommit.md#edit-role-codecommit)。 | 2016 年 4 月 18 日 | | AWS OpsWorks 新增 動作支援。請參閱 [服務角色許可： AWS OpsWorks 動作](action-reference-OpsWorks.md#edit-role-opsworks)。 | 2016 年 6 月 2 日 | | CloudFormation 新增 動作支援。請參閱 [服務角色許可： CloudFormation 動作](action-reference-CloudFormation.md#edit-role-cloudformation)。 | 2016 年 11 月 3 日 | | 已新增AWS CodeBuild 動作支援。請參閱 [服務角色許可：CodeBuild 動作](action-reference-CodeBuild.md#edit-role-codebuild)。 | 2016 年 12 月 1 日 | | 已新增 Elastic Beanstalk 動作支援。請參閱 [服務角色許可：`ElasticBeanstalk`部署動作](action-reference-Beanstalk.md#edit-role-beanstalk)。 | 初始服務啟動 | | 已新增 CodeDeploy 動作支援。請參閱 [服務角色許可： AWS CodeDeploy 動作](action-reference-CodeDeploy.md#edit-role-codedeploy)。 | 初始服務啟動 | | 已新增 S3 來源動作支援。請參閱 [服務角色許可：S3 來源動作](action-reference-S3.md#edit-role-s3source)。 | 初始服務啟動 | 請依照下列步驟為支援的服務新增許可： 1. 登入 AWS 管理主控台 ，並在 https：//[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 開啟 IAM 主控台。 1. 在 IAM 主控台的導覽窗格中，選擇**角色**，然後從`AWS-CodePipeline-Service`角色清單中選擇您的角色。 1. 在**許可**索引標籤的**內嵌政策**中，在您的服務角色政策的資料列中，選擇**編輯政策**。 1. 在**政策文件**方塊中新增必要的許可。 **注意** 當您建立 IAM 政策時，請遵循授予最低權限的標準安全建議，也就是僅授予執行任務所需的許可。某些 API 呼叫支援資源型許可，並且允許限制存取。例如，在此範例中，如要限制呼叫 `DescribeTasks` 和 `ListTasks` 時的許可，您可以將萬用字元 (\$1) 取代成資源 ARN，或是使用包含萬用字元 (\$1) 的資源 ARN。如需建立授予最低權限存取權的政策的詳細資訊，請參閱 [https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege)。 1. 選擇**檢閱政策**，確保政策沒有任何錯誤。當政策沒有錯誤時，請選擇**套用政策**。 # 在 CodePipeline 中記錄和監控 您可以使用 中的記錄功能 AWS 來判斷使用者在帳戶中採取的動作，以及所使用的資源。日誌檔顯示： + 動作的時間和日期。 + 動作的來源 IP 地址。 + 哪些動作因許可不足而失敗。 以下提供記錄功能 AWS 服務： + AWS CloudTrail 可用來記錄 AWS API 呼叫，以及由 發出或代表 發出的相關事件 AWS 帳戶。如需詳細資訊，請參閱[使用 記錄 CodePipeline API 呼叫 AWS CloudTrail](monitoring-cloudtrail-logs.md)。 + Amazon CloudWatch Events 可用來監控您的 AWS 雲端 資源和執行的應用程式 AWS。您可以根據您定義的指標，在 Amazon CloudWatch Events 中建立提醒。如需詳細資訊，請參閱[監控 CodePipeline 事件](detect-state-changes-cloudwatch-events.md)。 # 的合規驗證 AWS CodePipeline 若要了解 AWS 服務 是否在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。 您可以使用成品下載第三方稽核報告。如需詳細資訊，請參閱[下載報告 in AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html) 您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。 # 中的彈性 AWS CodePipeline AWS 全球基礎設施是以 AWS 區域和可用區域為基礎建置的。 AWS 區域提供多個實體隔離和隔離的可用區域，這些區域以低延遲、高輸送量和高度備援的網路連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # 中的基礎設施安全 AWS CodePipeline 作為受管服務， AWS CodePipeline 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及如何 AWS 保護基礎設施的資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務來設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 發佈的 API 呼叫，透過網路存取 CodePipeline。使用者端必須支援下列專案： + Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。 # 安全最佳實務 **Topics** CodePipeline 提供許多安全功能，供您在開發和實作自己的安全政策時考慮。以下最佳實務為一般準則，並不代表完整的安全解決方案。這些最佳實務可能不適用或無法滿足您的環境需求，因此請將其視為實用建議就好，而不要當作是指示。 您可以針對連線至管道的來源儲存庫使用加密和身分驗證。以下是 CodePipeline 安全性最佳實務： + 如果您建立需要包含秘密的管道或動作組態，例如字符或密碼、請勿直接在動作組態中輸入秘密，或在管道層級或 CloudFormation 組態中定義的變數預設值，因為資訊會顯示在日誌中。使用 Secrets Manager 設定和存放秘密，然後在管道和動作組態中使用參考的秘密，如中所述[使用 AWS Secrets Manager 追蹤資料庫密碼或第三方 API 金鑰](parameter-store-encryption.md)。 + 如果您建立使用 S3 來源儲存貯體的管道，請透過管理 ，為存放在 Amazon S3 for CodePipeline 中的成品設定伺服器端加密 AWS KMS keys，如中所述[針對存放在 Amazon S3 for CodePipeline 中的成品設定伺服器端加密](S3-artifact-encryption.md)。 + 如果您使用 Jenkins 建置提供者，當您針對管道的建置或測試動作使用 Jenkins 建置提供者時，請在 EC2 執行個體上安裝 Jenkins，並設定個別 EC2 執行個體描述檔。請確定執行個體描述檔只授予 Jenkins 執行專案任務所需的 AWS 許可，例如從 Amazon S3 擷取檔案。若要了解如何針對 Jenkins 執行個體描述檔建立該角色，請參閱[建立用於 Jenkins 整合的 IAM 角色](tutorials-four-stage-pipeline.md#tutorials-four-stage-pipeline-prerequisites-jenkins-iam-role)中的步驟。