View a markdown version of this page

Gestisci il ruolo del CodePipeline servizio - AWS CodePipeline
CodePipeline politica relativa al ruolo del servizioRimuovi le autorizzazioni dal ruolo di servizio CodePipelineAggiungi le autorizzazioni al ruolo del servizio CodePipeline

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Gestisci il ruolo del CodePipeline servizio

Il ruolo del servizio è configurato con una o più politiche che controllano l'accesso alle AWS risorse utilizzate dalla pipeline. Potresti voler allegare più policy a questo ruolo, modificare la policy allegata al ruolo o configurare policy per altri ruoli di servizio in AWS. Potrebbe inoltre essere necessario collegare una policy a un ruolo durante la configurazione dell'accesso tra più account alla pipeline.

Importante

Modificando una dichiarazione di policy o collegando un'altra policy al ruolo può impedire il funzionamento delle pipeline. Assicurati di comprendere le implicazioni prima di modificare in qualsiasi modo il ruolo del servizio per . Assicurati di testare le pipeline dopo aver apportato eventuali modifiche al ruolo del servizio.

Nota

Nella console, i ruoli del servizio creati prima di settembre 2018 vengono creati con il nome oneClick_AWS-CodePipeline-Service_ID-Number.

I ruoli del servizio creati dopo settembre 2018 utilizzano il formato del nome del ruolo del servizio AWSCodePipelineServiceRole-Region-Pipeline_Name. Ad esempio, per una pipeline denominata MyFirstPipeline ineu-west-2, la console nomina il ruolo e la policyAWSCodePipelineServiceRole-eu-west-2-MyFirstPipeline.

CodePipeline politica relativa al ruolo del servizio

La dichiarazione sulla politica del ruolo del CodePipeline servizio contiene le autorizzazioni minime per la gestione delle pipeline. È possibile modificare la dichiarazione del ruolo del servizio per rimuovere o aggiungere l'accesso alle risorse che non si utilizzano. Consulta il riferimento all'azione appropriato per i permessi minimi richiesti CodePipeline per ogni azione.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowS3BucketAccess",
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketVersioning",
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": [
        "arn:aws:s3:::[[pipeArtifactBucketNames]]"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "{{accountId}}"
        }
      }
    },
    {
      "Sid": "AllowS3ObjectAccess",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject",
        "s3:GetObjectVersion",
        "s3:PutObjectTagging",
        "s3:GetObjectTagging",
        "s3:GetObjectVersionTagging"
      ],
      "Resource": [
        "arn:aws:s3:::[[pipeArtifactBucketNames]]/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "{{accountId}}"
        }
      }
    }
  ]
}
Nota

Nella policy, le seguenti autorizzazioni sono richieste quando gli oggetti S3 nel bucket di origine contengono dei tag: 

s3:PutObjectTagging
s3:GetObjectTagging
s3:GetObjectVersionTagging

Rimuovi le autorizzazioni dal ruolo di servizio CodePipeline

Puoi modificare la dichiarazione del ruolo del servizio per rimuovere l'accesso alle risorse non utilizzate. Ad esempio, se nessuna delle pipeline include Elastic Beanstalk, puoi modificare la dichiarazione politica per rimuovere la sezione che consente l'accesso alle risorse di Elastic Beanstalk.

Allo stesso modo, se nessuna delle tue pipeline include CodeDeploy, puoi modificare la dichiarazione politica per rimuovere la sezione che consente l'accesso alle risorse: CodeDeploy 

    {
    "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetApplicationRevision",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:RegisterApplicationRevision"
    ],
    "Resource": "*",
    "Effect": "Allow"
},

Aggiungi le autorizzazioni al ruolo del servizio CodePipeline

È necessario aggiornare la dichiarazione della politica sul ruolo di servizio con le autorizzazioni per una dichiarazione della politica sul ruolo di servizio Servizio AWS non già inclusa nella dichiarazione della politica sul ruolo di servizio predefinita prima di poterla utilizzare nelle pipeline.

Ciò è particolarmente importante se il ruolo di servizio utilizzato per le pipeline è stato creato prima dell'aggiunta del supporto per un. Servizio AWS

La tabella seguente mostra quando è stato aggiunto il supporto per altri Servizi AWS.

Servizio AWS CodePipeline data di supporto
CodePipeline è stato aggiunto il supporto per le azioni di richiamo. Consulta Ruolo di servizio: criteri, autorizzazioni per l'azione di richiamo CodePipeline. 14 marzo 2025
EC2è stato aggiunto il supporto all'azione. Consulta Ruolo del servizio, policy e autorizzazioni per l'azione di distribuzione EC2. 21 febbraio 2025
EKSè stato aggiunto il supporto all'azione. Consulta Ruolo del servizio, policy, autorizzazioni. 20 febbraio 2025
È stato aggiunto il supporto ECRBuildAndPublish all'azione di Amazon Elastic Container Registry. Consulta Autorizzazioni relative ai ruoli di servizio: azione ECRBuildAndPublish. 22 novembre 2024
È stato aggiunto il supporto InspectorScan all'azione di Amazon Inspector. Consulta Autorizzazioni per i ruoli di servizio: azione InspectorScan. 22 novembre 2024
È stato aggiunto il supporto per le azioni dei comandi. Consulta Autorizzazioni del ruolo di servizio: azione dei comandi. 03 ottobre 2024
CloudFormation è stato aggiunto il supporto all'azione. Consulta Autorizzazioni per i ruoli di servizio: azione CloudFormationStackSet e Autorizzazioni per i ruoli di servizio: azione CloudFormationStackInstances. 30 dicembre 2020
CodeCommit è stato aggiunto il supporto completo per le azioni in formato artefatto di output clone. Consulta Autorizzazioni del ruolo di servizio: azione CodeCommit. 11 novembre 2020
AWS CodeBuild è stato aggiunto il supporto per le azioni batch builds. Consulta Autorizzazioni del ruolo di servizio: azione CodeCommit. 30 luglio 2020
AWS AppConfig è stato aggiunto il supporto all'azione. Consulta Autorizzazioni per i ruoli di servizio: azione AppConfig. 22 giugno 2020
AWS Step Functions è stato aggiunto il supporto all'azione. Consulta Autorizzazioni per i ruoli di servizio: azione StepFunctions. 27 maggio 2020
AWS CodeStar È stato aggiunto il supporto all'azione Connections. Consulta Autorizzazioni relative ai ruoli di servizio: azione CodeConnections. 18 dicembre 2019
È stato aggiunto il supporto per le azioni di distribuzione S3. Consulta Autorizzazioni per i ruoli di servizio: azione di distribuzione S3. 16 gennaio 2019
È stato aggiunto il supporto all'CodeDeployToECSazione. Consulta Autorizzazioni relative ai ruoli di servizio: azione CodeDeployToECS. 27 novembre 2018
È stato aggiunto il supporto alle azioni Amazon ECR. Consulta Autorizzazioni relative ai ruoli di servizio: azione Amazon ECR. 27 novembre 2018
È stato aggiunto il supporto alle azioni di Service Catalog. Consulta Autorizzazioni relative ai ruoli di servizio: azione Service Catalog. 16 ottobre 2018
AWS Device Farm è stato aggiunto il supporto all'azione. Consulta Autorizzazioni per i ruoli di servizio: AWS Device Farm operazione. 19 luglio 2018
È stato aggiunto il supporto alle azioni di Amazon ECS. Consulta Autorizzazioni relative ai ruoli di servizio: azione standard di Amazon ECS. 12 dicembre 2017/Aggiornamento per l'attivazione dell'autorizzazione alla codifica il 21 luglio 2017
CodeCommit è stato aggiunto il supporto alle azioni. Consulta Autorizzazioni del ruolo di servizio: azione CodeCommit. 18 Aprile 2016
AWS OpsWorks supporto all'azione aggiunto. Consulta Autorizzazioni per i ruoli di servizio: AWS OpsWorks operazione. 2 giugno 2016
CloudFormation supporto all'azione aggiunto. Consulta Autorizzazioni per i ruoli di servizio: azione CloudFormation. 3 Novembre 2016
AWS CodeBuild è stato aggiunto il supporto all'azione. Consulta Autorizzazioni relative ai ruoli di servizio: azione CodeBuild. 1° dicembre 2016
È stato aggiunto il supporto all'azione Elastic Beanstalk. Consulta Autorizzazioni relative ai ruoli di servizio: azione di distribuzione ElasticBeanstalk. Avvio iniziale del servizio
CodeDeploy supporto all'azione aggiunto. Consulta Autorizzazioni per i ruoli di servizio: azione AWS CodeDeploy. Avvio iniziale del servizio
È stato aggiunto il supporto per l'azione sorgente S3. Consulta Autorizzazioni del ruolo di servizio: azione sorgente S3. Avvio iniziale del servizio

Per aggiungere le autorizzazioni per un servizio supportato, procedi nel seguente modo:

  1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nella console IAM, nel pannello di navigazione, scegli Ruoli, quindi scegli il tuo AWS-CodePipeline-Service ruolo dall'elenco dei ruoli.

  3. Nella scheda Autorizzazioni, in Inline Policy, nella riga relativa alla policy relativa al tuo ruolo di servizio, scegli Modifica policy.

  4. Aggiungi le autorizzazioni richieste nella casella del documento Policy.

    Nota

    Quando crei le policy IAM, segui il consiglio di sicurezza standard di concedere il privilegio minimo, ovvero concedere solo le autorizzazioni necessarie per eseguire un'attività. Alcune chiamate API supportano autorizzazioni basate su risorse e permettono la limitazione degli accessi. Ad esempio, in questo caso, per limitare le autorizzazioni quando si chiamano le operazioni DescribeTasks e ListTasks, puoi sostituire il carattere jolly (*) con un ARN della risorsa o con ARN della risorsa che contiene un carattere jolly (*). Per ulteriori informazioni sulla creazione di una policy che conceda l'accesso con privilegi minimi, consulta. https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege

  5. Scegliere Review policy (Esamina policy) per accertarsi che la policy non contenga errori. Quando la policy è priva di errori, scegli Applica policy.