他の AWS アカウントからリソースを使用するパイプラインを CodePipeline で作成する方法について説明します。

AWS マネジメントコンソール を使用して AccountA にサインインし、AWS KMS コンソールを開きます。

左側で [カスタマー管理キー]を選択します。

[キーの作成] を選択します。[キーの設定] で、[対称] のデフォルトを選択したまま、[次] を選択します。

エイリアス に、このキーに使用するエイリアス(PipelineName-Keyなど)を入力します。必要に応じて、このキーの説明とタグを入力し、[次] を選択します。

[キー管理アクセス許可の定義] で、このキーの管理者となるロールを選択し、[次へ] を選択します。

[キーの利用方法許可の定義] の [このアカウント] で、パイプラインのサービスロールの名前 (例えば CodePipeline_Service_Role など) を選択します。[別の AWS アカウント] で、追加 [別の AWS アカウント] を選択します。ARN の一部として AccountB のアカウント ID を入力し、[次へ ] を選択します。

[キーポリシーの確認と編集]で、ポリシーを確認し、[完了]を選択します。

キーのリストから、キーのエイリアスを選択し、その ARN (arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLEなど) にコピーします。この ARN は、パイプラインの編集時とポリシーの設定時に必要になります。

AWS マネジメントコンソール ルに AccountA でサインインして Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

Amazon S3 バケットのリストで、パイプラインのアーティファクトが保存される Amazon S3バケットを選択します。このバケットには、codepipeline-region-1234567EXAMPLE という名前が付けられます。ここで、リージョン はパイプラインを作成した AWS リージョンであり、1234567EXAMPLE はバケット名を一意にするための 10 桁の乱数 (codepipeline-us-east-2-1234567890 など) です。

Amazon S3 バケットの詳細ページで、[Properties] を選択します。

プロパティペインで、[アクセス許可] を展開し、[バケットポリシーの追加]を選択します。

バケットポリシーエディターウィンドウで AccountB にパイプラインアーティファクトへのアクセスを許可するポリシーを作成し、カスタムソースやビルドアクションなどのアクションによってアーティファクトが作成された場合、出力アーティファクトを追加する機能を AccountB に追加します。

[保存] を選択したら、ポリシーエディタを閉じます。

[保存] を選択して、Amazon S3 バケットに対するアクセス権限を保存します。

AWS マネジメントコンソール ルに AccountA でサインインして IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで [Roles(ロール)] を選択します。

[ロール名] の下にあるロールのリストで、 CodePipeline のサービスロールの名前を選択します。

[アクセス許可] タブで [インラインポリシーの追加]を選択します。

[JSON] タブをクリックし、次のポリシーを入力して許可します。 AccountB を選択してロールを引き受けることができます。次の例では、012ID_ACCOUNT_Bは、AccountBの ARN です。

[ポリシーの確認]を選択します。

[名前] に、このポリシーの名前を入力します。[Create policy]を選択します。

AWS マネジメントコンソール に AccountB でサインインして IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで [Roles (ロール)]を選択します。

[ロール名] の下にあるロールのリストで、 CodeDeploy アプリケーションの Amazon EC2 インスタンスロールとして使用するサービスロールの名前を選択します。このロール名はさまざまで、デプロイグループで複数のインスタンスロールを使用できます。詳細については、「Amazon EC2 インスタンスの IAM インスタンスプロファイルを作成する」を参照してください。

[アクセス許可] タブで [インラインポリシーの追加]を選択します。

JSON タブで、以下のポリシーを入力して、 Amazon S3 バケットへのアクセスを許可します。AccountA パイプラインのアーティファクトを保存するには (この例では、codepipeline-us-east-2-1234567890):

[ポリシーの確認]を選択します。

[名前] に、このポリシーの名前を入力します。[Create policy]を選択します。

AWS KMS の2番目のポリシーを作成します。このポリシーで、 arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE は AccountAで作成されたカスタマーマネージドキーの ARN であり、AccountB にそのキーの使用を許可しています。

[ポリシーの確認]を選択します。

[名前] に、このポリシーの名前を入力します。[Create policy]を選択します。

AWS マネジメントコンソール に AccountB でサインインして IAM コンソール (https://console.aws.amazon.com/iam) を開きます。

ナビゲーションペインで [Roles (ロール)]を選択します。[ロールの作成] を選択します。

[Select type of trusted entity](信頼できるエンティティのタイプを選択) で、[AnotherAWSaccount](別のアカウント) を選択します。このロールを使用できるアカウントを指定する でアカウント ID に、 AWS アカウント ID で CodePipeline (AccountA)でパイプラインを作成するアカウントを入力し、[Next :許可] を選択します。

[Attach permissions policies (アクセス許可ポリシーのアタッチ)] ページで、[AmazonS3ReadOnlyAccess]、[Next :タグ] の順に選択します。

[Next: Review (次へ: レビュー)]を選択します。ロール名 に (CrossAccount_Roleなど) のロールを名前に入力します。IAMの命名規則に従う限り、このロールの名前は任意に指定できます。ロールの目的が明確になる名前を付けることを検討してください。[Create Role]を選択します。

ロールのリストから、作成したポリシー (CrossAccount_Role など) を選択して、そのロールの [Summary] ページを開きます。

[アクセス許可] タブで [インラインポリシーの追加]を選択します。

[JSON] タブで、以下のポリシーを入力して、CodeDeploy リソースへのアクセスを許可します。

[ポリシーの確認]を選択します。

[名前] に、このポリシーの名前を入力します。[ Create policy]を選択します。

[アクセス許可] タブで [インラインポリシーの追加]を選択します。

[JSON] タブを選択し、 以下のポリシーを入力して、このロールに AccountA の Amazon S3 バケットに対する入力アーティファクトの取得と出力アーティファクトの保存を許可します。

[ポリシーの確認]を選択します。

[名前] に、このポリシーの名前を入力します。[Create policy]を選択します。

[アクセス許可] タブで、[ポリシー名] の下のポリシーの一覧で AmazonS3ReadOnlyAccess を探し、ポリシーの横にある削除アイコン (X) を選択します。プロンプトが表示されたら、[Detach]を選択します。

[信頼関係] タブ、[信頼ポリシーを編集] の順に選択します。左側の列で [プリンシパルを追加] オプションを選択します。[プリンシパルタイプ] で、[IAM ロール] を選択し、AccountA の CodePipeline サービスロールの ARN を指定します。[AWS プリンシパル] のリストから arn:aws:iam::Account_A:root を削除し、[ポリシーを更新] を選択します。

ターミナル ( Linux, macOS , or Unix ) またはコマンドプロンプト ( Windows ) で、リソースを追加するパイプラインに対して get-pipeline コマンドを実行します。コマンドの出力を JSON ファイルにコピーします。例えば、MyFirstPipeline という名前のパイプラインに対しては、以下のようなコマンドを入力します。

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

出力は、pipeline.json ファイルを開きます。

任意のプレーンテキストエディタで JSON ファイルを開きます。アーティファクトストアの "type": "S3" の後に、KMS 暗号化キー、ID、タイプ情報を追加します。ここで、codepipeline-us-east-2-1234567890 は、Amazon S3 バケット名で使用されるパイプラインのアーティファクトの保存にされ、arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE は、先ほど作成したカスタマー管理キーの ARN です。

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

AccountB に関連付けられている CodeDeploy リソースを使用するためのデプロイアクションをステージに追加して、roleArn 値など作成したクロスアカウントロール (CrossAccount_Role) に指定します。

以下の例では、ExternalDeployという名前のデプロイアクションを追加する JSON を示しています。また、AccountBで作成された CodeDeploy リソースを Staging という名前のステージで使用しています。以下の例では、AccountBの ARN は012ID_ACCOUNT_Bです。

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

metadata コマンドが使用できるように、ファイルから update-pipeline 行を削除する必要があります。JSON ファイルのパイプライン構造からセクションを削除します ("metadata": { } 行と、"created"、"pipelineARN"、および"updated"フィールド)。

例えば、構造から以下の行を削除します。

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

ファイルを保存します。

変更を適用するには、以下のように、パイプライン JSON ファイルを指定して、 update-pipeline コマンドを実行します。

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

このコマンドは、編集したパイプラインの構造全体を返します。

ターミナル ( Linux, macOS , or Unix ) またはコマンドプロンプト ( Windows ) で、以下のように、パイプラインの名前を指定して、start-pipeline-execution コマンドを実行します。

aws codepipeline start-pipeline-execution --name MyFirstPipeline

詳細については、「パイプラインを手動で開始する」を参照してください。

AWS マネジメントコンソール にサインインして、CodePipeline コンソール ( https://console.aws.amazon.com/codesuite/codebuild/home) を開きます。

AWS アカウントに関連付けられているすべてのパイプラインの名前が表示されます。

[Name]で、先ほど編集したパイプラインの名前を選択します。これにより、パイプラインの詳細ビューが開いて、パイプラインの各ステージの各アクションの状態などがわかります。

パイプラインの進行状況を監視します。別の AWS アカウントに関連付けられているリソースを使用するアクションの成功メッセージを待ちます。