AWS CodeArtifact のアイデンティティベースのポリシーの例 - CodeArtifact
ポリシーに関するベストプラクティスコンソールを使用するAWS CodeArtifact の AWS マネージド (定義済み) ポリシーユーザーが自分の許可を表示できるようにするリポジトリやドメインに関する情報の取得をユーザーに許可する特定のドメインに関する情報の取得をユーザーに許可する特定のリポジトリに関する情報の取得をユーザーに許可する認可トークンの期間の制限

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS CodeArtifact のアイデンティティベースのポリシーの例

デフォルトでは、ユーザーおよびロールには、CodeArtifact リソースを作成または変更する権限はありません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。

これらサンプルの JSON ポリシードキュメントを使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「IAM ポリシーを作成する (コンソール)」を参照してください。

各リソースタイプの ARN の形式など、CodeArtifact で定義されるアクションとリソースタイプの詳細については、「サービス認可リファレンス」のAWS CodeArtifact のアクション、リソース、および条件キー」を参照してください。 ARNs

ポリシーに関するベストプラクティス

ID ベースのポリシーは、ユーザーのアカウント内の CodeArtifact リソースを誰かが作成、アクセス、または削除できるどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

  • AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する – ユーザーとワークロードにアクセス許可の付与を開始するには、多くの一般的なユースケースにアクセス許可を付与するAWS 管理ポリシーを使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」または「ジョブ機能のAWS マネージドポリシー」を参照してください。

  • 最小特権を適用する – IAM ポリシーで許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、「IAM ユーザーガイド」の「IAM でのポリシーとアクセス許可」を参照してください。

  • IAM ポリシーで条件を使用してアクセスをさらに制限する - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用されている場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます CloudFormation。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素:条件」を参照してください。

  • IAM Access Analyzer を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する - IAM Access Analyzer は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、「IAM ユーザーガイド」の「IAM Access Analyzer でポリシーを検証する」を参照してください。

  • 多要素認証 (MFA) を要求する – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、MFA をオンにしてセキュリティを強化します。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、「IAM ユーザーガイド」の「MFA を使用した安全な API アクセス」を参照してください。

IAM でのベストプラクティスの詳細については、「IAM ユーザーガイド」の「IAM でのセキュリティのベストプラクティス」を参照してください。

CodeArtifact コンソールの使用

AWS CodeArtifact コンソールにアクセスするには、最小限のアクセス許可のセットが必要です。これらのアクセス許可により、 の CodeArtifact リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。

ユーザーとロールが CodeArtifact コンソールを引き続き使用できるようにするには、エンティティに AWSCodeArtifactAdminAccessまたは AWSCodeArtifactReadOnlyAccess AWS 管理ポリシーもアタッチします。詳細については、「IAM ユーザーガイド」の「ユーザーへのアクセス許可の追加」を参照してください。

AWS CodeArtifact の AWS マネージド (定義済み) ポリシー

AWS は、 によって作成および管理されるスタンドアロン IAM ポリシーを提供することで、多くの一般的なユースケースに対処します AWS。これらの AWS 管理ポリシーは、一般的なユースケースに必要なアクセス許可を付与するため、必要なアクセス許可を調査する必要がなくなります。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」 を参照してください。

アカウントのユーザーにアタッチできる次の AWS 管理ポリシーは、 AWS CodeArtifact に固有のものです。

  • AWSCodeArtifactAdminAccess – CodeArtifact ドメインを管理するためのアクセス許可を含む CodeArtifact へのフルアクセスを提供します。

    JSON
    {
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Action": [
            "codeartifact:*"
         ],
         "Effect": "Allow",
         "Resource": "*"
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      }
   ]
}

  • AWSCodeArtifactReadOnlyAccess – CodeArtifact への読み取り専用アクセスを提供します。

    JSON
    {
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Action": [
            "codeartifact:Describe*",
            "codeartifact:Get*",
            "codeartifact:List*",
            "codeartifact:ReadFromRepository"
         ],
         "Effect": "Allow",
         "Resource": "*"
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      }  
   ]
}

CodeArtifact サービスロールを作成および管理するには、 という名前 AWS の管理ポリシーもアタッチする必要がありますIAMFullAccess。

独自のカスタム IAM ポリシーを作成して、CodeArtifact アクションとリソースのためのアクセス許可を与えることもできます。これらのカスタムポリシーは、それらのアクセス許可が必要な IAM ユーザーまたはグループにアタッチできます。

ユーザーが自分の許可を表示できるようにする

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

リポジトリやドメインに関する情報の取得をユーザーに許可する

以下のポリシーは、IAM ユーザーまたはロールが、ドメイン、リポジトリ、パッケージ、アセットなど、あらゆるタイプの CodeArtifact リソースをリストおよび記述できるようにするものです。ポリシーには、プリンシパルが CodeArtifact リポジトリからパッケージを取得できるようにするcodeArtifact:ReadFromRepositoryアクセス許可も含まれます。新しいドメインやリポジトリの作成は許可せず、新しいパッケージの公開も許可しません。

GetAuthorizationToken API を呼び出すには、codeartifact:GetAuthorizationToken と sts:GetServiceBearerToken へのアクセス許可が必要です。

JSON
{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*",
            "codeartifact:Get*",
            "codeartifact:Read*"
         ],
         "Resource": "*"      
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      }
   ]
}

特定のドメインに関する情報の取得をユーザーに許可する

us-east-2リージョンにあり、123456789012 のアカウントで、名前が my で始まるドメインについての情報のみをユーザーがリストアップすることを許可するアクセス許可ポリシーの例を次に示します。

JSON
{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Effect": "Allow",
         "Action": "codeartifact:ListDomains",
         "Resource": "arn:aws:codeartifact:us-east-2:111122223333:domain/my*"      
      }
   ]
}

特定のリポジトリに関する情報の取得をユーザーに許可する

testで終わるリポジトリおよびそれに含まれるパッケージに関する情報をユーザーが取得できるようにするアクセス許可ポリシーの例を以下に示します。ユーザーは、リソースを発行したり、作成したり、削除することができなくなります。

GetAuthorizationToken API を呼び出すには、codeartifact:GetAuthorizationToken と sts:GetServiceBearerToken へのアクセス許可が必要です。

JSON
{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*",
            "codeartifact:Get*",
            "codeartifact:Read*"
         ],
         "Resource": "arn:aws:codeartifact:*:*:repository/*/*test"      
      },
      {
         "Effect": "Allow",
         "Action": [
            "codeartifact:List*",
            "codeartifact:Describe*"
         ],
         "Resource": "arn:aws:codeartifact:*:*:package/*/*test/*/*/*"   
      },
      {
         "Effect": "Allow",
         "Action": "sts:GetServiceBearerToken",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "sts:AWSServiceName": "codeartifact.amazonaws.com"
            }
         }
      },
      {
         "Effect": "Allow",
         "Action": "codeartifact:GetAuthorizationToken",
         "Resource": "*"
      }
   ]
}

認可トークンの期間の制限

ユーザーが、パッケージバージョンを公開または使用するには、認可トークンを使用して CodeArtifact を認証する必要があります。認可トークンは、設定された有効期間中にのみ有効です。トークンの有効期間はデフォルトで 12 時間となっています。認可レスポンスの詳細については、「AWS CodeArtifact 認証とトークン」を参照してください。

トークンを取得するときに、ユーザーはトークンの有効期間を設定できます。認可トークンの有効期間の有効な値は0、、および 900 (15 分) から 43200 (12 時間) までの任意の数値です。0の値は、ユーザーのロールの一時的な認証情報に等しい期間を持つトークンを作成します。

管理者は、ユーザーまたはグループにアタッチされたアクセス許可ポリシーの条件sts:DurationSecondsキーを使用して、認可トークンの有効期間の有効な値を制限できます。有効値以外の有効期間を持つ認可トークンをユーザーが作成しようとすると、トークンの作成は失敗します。

次のポリシー例では、CodeArtifact ユーザーによって作成された認可トークンの有効期間を制限しています。

ポリシー例:トークンの有効期間を 12 時間 (43200 秒) ちょうどに制限する

このポリシーを使用すると、ユーザーは有効期間が 12 時間の認可トークンしか作成することができません。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "codeartifact:*",
            "Resource": "*"
        },
        {
            "Sid": "sts",
            "Effect": "Allow",
            "Action": "sts:GetServiceBearerToken",
            "Resource": "*",
            "Condition": {
                "NumericEquals": {
                    "sts:DurationSeconds": 43200
                },
                "StringEquals": {
                    "sts:AWSServiceName": "codeartifact.amazonaws.com"
                }
            }
        }
    ]
}

ポリシー例:トークンの有効期間を 15 分から 1 時間、またはユーザーの一時的な認証情報期間と等しい時間に制限する

このポリシーにより、ユーザーは 15 分から 1 時間の間で有効なトークンを作成することができます。また、ユーザーは、--durationSecondsに対して0を指定することで、ロールの一時的な認証情報の有効期間を保持するトークンを作成することもできます。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "codeartifact:*",
            "Resource": "*"
        },
        {
            "Sid": "sts",
            "Effect": "Allow",
            "Action": "sts:GetServiceBearerToken",
            "Resource": "*",
            "Condition": {
                "NumericLessThanEquals": {
                    "sts:DurationSeconds": 3600
                },
                "StringEquals": {
                    "sts:AWSServiceName": "codeartifact.amazonaws.com"
                }
            }
        }
    ]
}