CodeBuild 条件キーを IAM サービスロール変数として使用してビルドアクセスを制御する - AWS CodeBuild

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CodeBuild 条件キーを IAM サービスロール変数として使用してビルドアクセスを制御する

CodeBuild ビルド ARN を使用すると、コンテキストキーを使用して CodeBuild サービスロールのリソースアクセスの範囲を絞り込むことで、リソースアクセスを制限できます。CodeBuild の場合、ビルドアクセス動作の制御に使用できるキーは codebuild:buildArn および codebuild:projectArn です。ビルドプロジェクト ARN を使用すると、リソースへの呼び出しが特定のビルドプロジェクトからのものであるかどうかを確認できます。この確認のためには、IAM アイデンティティベースのポリシーの codebuild:buildArn または codebuild:projectArn 条件キーを使用します。

ポリシーで codebuild:buildArn または codebuild:projectArn 条件キーを使用するには、それを、任意の ARN 条件演算子に条件として含めます。キーの値は、有効な ARN に解決される IAM 変数である必要があります。以下のポリシー例では、${codebuild:projectArn} IAM 変数のプロジェクト ARN を含むビルドプロジェクトにのみアクセスが許可されます。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucket-name/${codebuild:projectArn}/*"
        }
    ]
}