AWSProtonFullAccess AWSProtonDeveloperAccess AWSProtonReadOnlyAccess AWSProtonSyncServiceRolePolicy AWSProtonCodeBuildProvisioningBasicAccess AWSProtonCodeBuildProvisioningServiceRolePolicy AWSProtonServiceGitSyncServiceRolePolicy Atualizações da política

AWS políticas gerenciadas para AWS Proton

Para adicionar permissões a usuários, grupos e funções, é mais fácil usar políticas AWS gerenciadas do que escrever políticas você mesmo. É necessário tempo e experiência para criar políticas gerenciadas pelo cliente do IAM que fornecem à sua equipe apenas as permissões de que precisam. Para começar rapidamente, você pode usar nossas políticas AWS gerenciadas. Essas políticas abrangem casos de uso comuns e estão disponíveis na sua Conta da AWS. Para obter mais informações sobre políticas AWS gerenciadas, consulte políticas AWS gerenciadas no Guia do usuário do IAM.

Serviços da AWS manter e atualizar políticas AWS gerenciadas. Você não pode alterar as permissões nas políticas AWS gerenciadas. Os serviços ocasionalmente acrescentam permissões adicionais a uma política gerenciada pela AWS para oferecer suporte a novos recursos. Esse tipo de atualização afeta todas as identidades (usuários, grupos e funções) em que a política está anexada. É mais provável que os serviços atualizem uma política gerenciada pela AWS quando um novo recurso for iniciado ou novas operações se tornarem disponíveis. Os serviços não removem as permissões de uma política AWS gerenciada, portanto, as atualizações de políticas não violarão suas permissões existentes.

Além disso, AWS oferece suporte a políticas gerenciadas para funções de trabalho que abrangem vários serviços. Por exemplo, a política ReadOnlyAccess AWS gerenciada fornece acesso somente de leitura a todos Serviços da AWS os recursos. Quando um serviço inicia um novo atributo, a AWS adiciona permissões somente leitura para novas operações e atributos. Para obter uma lista e descrições das políticas de perfis de trabalho, consulte Políticas gerenciadas pela AWS para perfis de trabalho no Guia do usuário do IAM.

AWS Proton fornece políticas gerenciadas de IAM e relações de confiança que você pode associar a usuários, grupos ou funções que permitem diferentes níveis de controle sobre recursos e operações de API. É possível aplicar essas políticas diretamente ou usá-las como ponto de partida para criar suas próprias políticas.

A relação de confiança a seguir é usada para cada uma das políticas AWS Proton gerenciadas.


{
  "Version": "2012-10-17",
  "Statement": {
    "Sid": "ExampleTrustRelationshipWithProtonConfusedDeputyPrevention",
    "Effect": "Allow",
    "Principal": {
      "Service": "proton.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "StringEquals": {
        "aws:SourceAccount": "123456789012"
      },
      "ArnLike": {
        "aws:SourceArn": "arn:aws::proton:*:123456789012:environment/*"
      }
    }
  }
}

AWS política gerenciada: AWSProton FullAccess

Você pode anexar AWSProtonFullAccess às suas entidades do IAM. AWS Proton também anexa essa política a uma função de serviço que permite AWS Proton realizar ações em seu nome.

Essa política concede permissões administrativas que permitem acesso total às AWS Proton ações e acesso limitado a outras ações AWS de serviço que AWS Proton dependem de.

A política inclui os seguintes namespaces de ações-chave:

proton— Permite aos administradores acesso total a. AWS Proton APIs
iam: Permite que os administradores passem perfis para o AWS Proton. Isso é necessário para que ele AWS Proton possa fazer chamadas de API para outros serviços em nome do administrador.
kms: Permite que os administradores adicionem uma concessão a uma chave gerenciada pelo cliente.
codeconnections— Permite que os administradores listem e passem conexões de código para que possam ser usadas por. AWS Proton

Esta política inclui as seguintes permissões.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ProtonPermissions",
            "Effect": "Allow",
            "Action": [
                "proton:*",
                "codestar-connections:ListConnections",
                "kms:ListAliases",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CreateGrantPermissions",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "proton.*.amazonaws.com"
                }
            }
        },
        {
            "Sid": "PassRolePermissions",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "proton.amazonaws.com"
                }
            }
        },
        {
            "Sid": "CreateServiceLinkedRolePermissions",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/sync.proton.amazonaws.com/AWSServiceRoleForProtonSync",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "sync.proton.amazonaws.com"
                }
            }
        },
        {
            "Sid": "CodeStarConnectionsPermissions",
            "Effect": "Allow",
            "Action": [
                "codestar-connections:PassConnection"
            ],
            "Resource": [
                "arn:aws:codestar-connections:*:*:connection/*",
                "arn:aws:codeconnections:*:*:connection/*"
            ],
            "Condition": {
                "StringEquals": {
                    "codestar-connections:PassedToService": "proton.amazonaws.com"
                }
            }
        },
        {
            "Sid": "CodeConnectionsPermissions",
            "Effect": "Allow",
            "Action": [
                "codeconnections:PassConnection"
            ],
            "Resource": [
                "arn:aws:codestar-connections:*:*:connection/*",
                "arn:aws:codeconnections:*:*:connection/*"
            ],
            "Condition": {
                "StringEquals": {
                    "codeconnections:PassedToService": "proton.amazonaws.com"
                }
            }
        }
    ]
}

AWS política gerenciada: AWSProton DeveloperAccess

Você pode anexar AWSProtonDeveloperAccess às suas entidades do IAM. AWS Proton também anexa essa política a uma função de serviço que permite AWS Proton realizar ações em seu nome.

Essa política concede permissões que permitem acesso limitado às AWS Proton ações e a outras AWS ações que AWS Proton dependem de. O escopo dessas permissões foi projetado para apoiar a função de um desenvolvedor que cria e implanta AWS Proton serviços.

Essa política não fornece acesso à criação, exclusão e atualização de AWS Proton modelos e ambientes APIs. Se os desenvolvedores precisarem de permissões ainda mais limitadas do que as fornecidas por essa política, recomendamos criar uma política personalizada com escopo reduzido para conceder o privilégio mínimo.

A política inclui os seguintes namespaces de ações-chave:

proton— Permite que os colaboradores acessem um conjunto limitado de AWS Proton APIs.
codeconnections— Permite que os colaboradores listem e passem conexões de código para que possam ser usadas por. AWS Proton

Esta política inclui as seguintes permissões.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ProtonPermissions",
            "Effect": "Allow",
            "Action": [
                "codecommit:ListRepositories",
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineExecution",
                "codepipeline:GetPipelineState",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListPipelines",
                "codestar-connections:ListConnections",
                "codestar-connections:UseConnection",
                "proton:CancelServiceInstanceDeployment",
                "proton:CancelServicePipelineDeployment",
                "proton:CreateService",
                "proton:DeleteService",
                "proton:GetAccountRoles",
                "proton:GetAccountSettings",
                "proton:GetEnvironment",
                "proton:GetEnvironmentAccountConnection",
                "proton:GetEnvironmentTemplate",
                "proton:GetEnvironmentTemplateMajorVersion",
                "proton:GetEnvironmentTemplateMinorVersion",
                "proton:GetEnvironmentTemplateVersion",
                "proton:GetRepository",
                "proton:GetRepositorySyncStatus",
                "proton:GetResourcesSummary",
                "proton:GetService",
                "proton:GetServiceInstance",
                "proton:GetServiceTemplate",
                "proton:GetServiceTemplateMajorVersion",
                "proton:GetServiceTemplateMinorVersion",
                "proton:GetServiceTemplateVersion",
                "proton:GetTemplateSyncConfig",
                "proton:GetTemplateSyncStatus",
                "proton:ListEnvironmentAccountConnections",
                "proton:ListEnvironmentOutputs",
                "proton:ListEnvironmentProvisionedResources",
                "proton:ListEnvironments",
                "proton:ListEnvironmentTemplateMajorVersions",
                "proton:ListEnvironmentTemplateMinorVersions",
                "proton:ListEnvironmentTemplates",
                "proton:ListEnvironmentTemplateVersions",
                "proton:ListRepositories",
                "proton:ListRepositorySyncDefinitions",
                "proton:ListServiceInstanceOutputs",
                "proton:ListServiceInstanceProvisionedResources",
                "proton:ListServiceInstances",
                "proton:ListServicePipelineOutputs",
                "proton:ListServicePipelineProvisionedResources",
                "proton:ListServices",
                "proton:ListServiceTemplateMajorVersions",
                "proton:ListServiceTemplateMinorVersions",
                "proton:ListServiceTemplates",
                "proton:ListServiceTemplateVersions",
                "proton:ListTagsForResource",
                "proton:UpdateService",
                "proton:UpdateServiceInstance",
                "proton:UpdateServicePipeline",
                "s3:ListAllMyBuckets",
                "s3:ListBucket"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CodeStarConnectionsPermissions",
            "Effect": "Allow",
            "Action": "codestar-connections:PassConnection",
            "Resource": [
                "arn:aws:codestar-connections:*:*:connection/*",
                "arn:aws:codeconnections:*:*:connection/*"
            ],
            "Condition": {
                "StringEquals": {
                    "codestar-connections:PassedToService": "proton.amazonaws.com"
                }
            }
        },
        {
            "Sid": "CodeConnectionsPermissions",
            "Effect": "Allow",
            "Action": "codeconnections:PassConnection",
            "Resource": [
                "arn:aws:codestar-connections:*:*:connection/*",
                "arn:aws:codeconnections:*:*:connection/*"
            ],
            "Condition": {
                "StringEquals": {
                    "codeconnections:PassedToService": "proton.amazonaws.com"
                }
            }
        }
    ]
}

AWS política gerenciada: AWSProton ReadOnlyAccess

Você pode anexar AWSProtonReadOnlyAccess às suas entidades do IAM. AWS Proton também anexa essa política a uma função de serviço que permite AWS Proton realizar ações em seu nome.

Essa política concede permissões que permitem acesso somente leitura às AWS Proton ações e acesso limitado somente leitura a outras ações de AWS serviço que dependem de. AWS Proton

A política inclui os seguintes namespaces de ações-chave:

proton— Permite que os colaboradores tenham acesso somente para leitura a. AWS Proton APIs

Esta política inclui as seguintes permissões.


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codepipeline:ListPipelineExecutions",
        "codepipeline:ListPipelines",
        "codepipeline:GetPipeline",
        "codepipeline:GetPipelineState",
        "codepipeline:GetPipelineExecution",
        "proton:GetAccountRoles",
        "proton:GetAccountSettings",
        "proton:GetEnvironment",
        "proton:GetEnvironmentAccountConnection",
        "proton:GetEnvironmentTemplate",
        "proton:GetEnvironmentTemplateMajorVersion",
        "proton:GetEnvironmentTemplateMinorVersion",
        "proton:GetEnvironmentTemplateVersion",
        "proton:GetRepository",
        "proton:GetRepositorySyncStatus",
        "proton:GetResourcesSummary",
        "proton:GetService",
        "proton:GetServiceInstance",
        "proton:GetServiceTemplate",
        "proton:GetServiceTemplateMajorVersion",
        "proton:GetServiceTemplateMinorVersion",
        "proton:GetServiceTemplateVersion",
        "proton:GetTemplateSyncConfig",
        "proton:GetTemplateSyncStatus",
        "proton:ListEnvironmentAccountConnections",
        "proton:ListEnvironmentOutputs",
        "proton:ListEnvironmentProvisionedResources",
        "proton:ListEnvironments",
        "proton:ListEnvironmentTemplateMajorVersions",
        "proton:ListEnvironmentTemplateMinorVersions",
        "proton:ListEnvironmentTemplates",
        "proton:ListEnvironmentTemplateVersions",
        "proton:ListRepositories",
        "proton:ListRepositorySyncDefinitions",
        "proton:ListServiceInstanceOutputs",
        "proton:ListServiceInstanceProvisionedResources",
        "proton:ListServiceInstances",
        "proton:ListServicePipelineOutputs",
        "proton:ListServicePipelineProvisionedResources",
        "proton:ListServices",
        "proton:ListServiceTemplateMajorVersions",
        "proton:ListServiceTemplateMinorVersions",
        "proton:ListServiceTemplates",
        "proton:ListServiceTemplateVersions",
        "proton:ListTagsForResource"
      ],
      "Resource": "*"
    }
  ]
}

AWS política gerenciada: AWSProton SyncServiceRolePolicy

AWS Proton anexa essa política à função AWSServiceRoleForProtonSyncvinculada ao serviço que permite realizar AWS Proton a sincronização de modelos.

Essa política concede permissões que permitem acesso limitado às AWS Proton ações e a outras ações AWS de serviço que AWS Proton dependem de.

A política inclui os seguintes namespaces de ações-chave:

proton— Permite acesso limitado à AWS Proton sincronização AWS Proton APIs a.
codeconnections— Permite acesso limitado à AWS Proton sincronização CodeConnections APIs a.

AWS política gerenciada: AWSProton CodeBuildProvisioningBasicAccess

As permissões CodeBuild precisam executar uma compilação para AWS Proton CodeBuild provisionamento. Você pode se associar AWSProtonCodeBuildProvisioningBasicAccess à sua função de CodeBuild aprovisionamento.

Essa política concede as permissões mínimas para o AWS Proton CodeBuild funcionamento do provisionamento. Ele concede permissões que permitem CodeBuild gerar registros de construção. Também concede permissão para o Proton disponibilizar saídas de Infraestrutura como Código (IaC) para os usuários. AWS Proton Não fornece as permissões necessárias às ferramentas do IaC para gerenciar a infraestrutura.

A política inclui os seguintes namespaces de ações-chave:

logs‐ Permite CodeBuild gerar registros de construção. Sem essa permissão, não CodeBuild conseguirá iniciar.
proton‐ Permite que um comando CodeBuild de provisionamento solicite a atualização das saídas do IAAC aws proton notify-resource-deployment-status-change para um determinado recurso. AWS Proton

Esta política inclui as seguintes permissões.


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogStream",
				"logs:CreateLogGroup",
				"logs:PutLogEvents"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/codebuild/AWSProton-*"
			]
		},
		{
			"Effect": "Allow",
			"Action": "proton:NotifyResourceDeploymentStatusChange",
			"Resource": "arn:aws:proton:*:*:*"
		}
	]
}

AWS política gerenciada: AWSProton CodeBuildProvisioningServiceRolePolicy

AWS Proton anexa essa política à função AWSServiceRoleForProtonCodeBuildProvisioningvinculada ao serviço que permite realizar CodeBuild o provisionamento AWS Proton baseado.

Essa política concede permissões que permitem acesso limitado às ações AWS de serviço que AWS Proton dependem de.

A política inclui os seguintes namespaces de ações-chave:

cloudformation— Permite acesso limitado ao provisionamento AWS Proton CodeBuild baseado a. AWS CloudFormation APIs
codebuild— Permite acesso limitado ao provisionamento AWS Proton CodeBuild baseado a. CodeBuild APIs
iam: Permite que os administradores passem perfis para o AWS Proton. Isso é necessário para que ele AWS Proton possa fazer chamadas de API para outros serviços em nome do administrador.
servicequotas— Permite AWS Proton verificar o limite de compilação CodeBuild simultânea, o que garante o enfileiramento adequado da construção.

Esta política inclui as seguintes permissões.


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudFormationPermissions",
      "Effect": "Allow",
      "Action": [
        "cloudformation:CreateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DeleteStack",
        "cloudformation:UpdateStack",
        "cloudformation:DescribeStacks",
        "cloudformation:DescribeStackEvents",
        "cloudformation:ListStackResources",
        "cloudformation:TagResource",
        "cloudformation:UntagResource"
      ],
      "Resource": [
        "arn:aws:cloudformation:*:*:stack/AWSProton-CodeBuild-*"
      ]
    },
    {
      "Sid": "CodeBuildPermissions",
      "Effect": "Allow",
      "Action": [
        "codebuild:CreateProject",
        "codebuild:DeleteProject",
        "codebuild:UpdateProject",
        "codebuild:StartBuild",
        "codebuild:StopBuild",
        "codebuild:RetryBuild",
        "codebuild:BatchGetBuilds",
        "codebuild:BatchGetProjects"
      ],
      "Resource": "arn:aws:codebuild:*:*:project/AWSProton*"
    },
    {
      "Sid": "PassRolePermissions",
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "*",
      "Condition": {
        "StringEqualsIfExists": {
          "iam:PassedToService": "codebuild.amazonaws.com"
        }
      }
    },
    {
      "Sid": "ServiceQuotaPermissions",
      "Effect": "Allow",
      "Action": [
          "servicequotas:GetServiceQuota"
      ],
      "Resource": "*"
    }    
  ]
}

AWS política gerenciada: AWSProton ServiceGitSyncServiceRolePolicy

AWS Proton anexa essa política à função AWSServiceRoleForProtonServiceSyncvinculada ao serviço que permite realizar AWS Proton a sincronização do serviço.

Essa política concede permissões que permitem acesso limitado às AWS Proton ações e a outras ações AWS de serviço que AWS Proton dependem de.

A política inclui os seguintes namespaces de ações-chave:

proton— Permite acesso limitado à AWS Proton sincronização AWS Proton APIs a.

AWS Proton atualizações nas políticas AWS gerenciadas

Veja detalhes sobre as atualizações das políticas AWS gerenciadas AWS Proton desde que esse serviço começou a rastrear essas alterações. Para receber alertas automáticos sobre alterações nessa página, assine o feed RSS na página Histórico do AWS Proton documento.

Alteração	Descrição	Data
AWSProtonCodeBuildProvisioningServiceRolePolicy: atualizar para uma política existente	A política gerenciada para a função vinculada ao serviço, que permite AWS Proton realizar o provisionamento CodeBuild baseado, agora concede permissões para chamar as ações e a CloudFormation `TagResource` API. `UntagResource` Essas permissões são necessárias para realizar operações de marcação em recursos.	15 de junho de 2024
AWSProtonFullAccess: atualização para uma política existente	A política gerenciada para a função vinculada ao serviço de usar o Git sync com repositórios Git foi atualizada para recursos com os dois prefixos de serviço. Para obter mais informações, consulte Uso de funções vinculadas a serviços para AWS CodeConnections e políticas gerenciadas.	25 de abril de 2024
AWSProtonDeveloperAccess: atualização para uma política existente	A política gerenciada para a função vinculada ao serviço de usar o Git sync com repositórios Git foi atualizada para recursos com os dois prefixos de serviço. Para obter mais informações, consulte Uso de funções vinculadas a serviços para AWS CodeConnections e políticas gerenciadas.	25 de abril de 2024
AWSProtonSyncServiceRolePolicy: atualização para uma política existente	A política gerenciada para a função vinculada ao serviço de usar o Git sync com repositórios Git foi atualizada para recursos com os dois prefixos de serviço. Para obter mais informações, consulte Uso de funções vinculadas a serviços para AWS CodeConnections e políticas gerenciadas.	25 de abril de 2024
AWSProtonCodeBuildProvisioningServiceRolePolicy: atualização para uma política existente	AWS Proton atualizou essa política para adicionar permissões para garantir que as contas tenham o limite de criação CodeBuild simultânea necessário para usar o CodeBuild provisionamento.	12 de maio de 2023
AWSProtonServiceGitSyncServiceRolePolicy – Nova política	AWS Proton adicionou uma nova política para permitir AWS Proton a sincronização de serviços. A política é usada na função AWSServiceRoleForProtonServiceSyncvinculada ao serviço.	31 de março de 2023
AWSProtonDeveloperAccess: atualização para uma política existente	AWS Proton adicionou uma nova `GetResourcesSummary` ação que permite que você visualize um resumo de seus modelos, recursos de modelo implantados e recursos desatualizados.	18 de novembro de 2022
AWSProtonReadOnlyAccess: atualização para uma política existente	AWS Proton adicionou uma nova `GetResourcesSummary` ação que permite que você visualize um resumo de seus modelos, recursos de modelo implantados e recursos desatualizados.	18 de novembro de 2022
AWSProtonCodeBuildProvisioningBasicAccess – Nova política	AWS Proton adicionou uma nova política que fornece CodeBuild as permissões necessárias para executar uma compilação para AWS Proton CodeBuild Provisioning.	16 de novembro de 2022
AWSProtonSyncServiceRolePolicy – Nova política	AWS Proton adicionou uma nova política para permitir AWS Proton a execução de operações relacionadas ao provisionamento CodeBuild baseado. A política é usada na função AWSServiceRoleForProtonCodeBuildProvisioningvinculada ao serviço.	2 de setembro de 2022
AWSProtonFullAccess: atualização para uma política existente	AWS Proton atualizou esta política para fornecer acesso a novas operações de AWS Proton API e corrigir problemas de permissão para algumas operações AWS Proton do console.	30 de março de 2022
AWSProtonDeveloperAccess: atualização para uma política existente	AWS Proton atualize esta política para fornecer acesso a novas operações de AWS Proton API e corrigir problemas de permissão para algumas operações AWS Proton do console.	30 de março de 2022
AWSProtonReadOnlyAccess: atualização para uma política existente	AWS Proton atualize esta política para fornecer acesso a novas operações de AWS Proton API e corrigir problemas de permissão para algumas operações AWS Proton do console.	30 de março de 2022
AWSProtonSyncServiceRolePolicy – Nova política	AWS Proton adicionou uma nova política para permitir AWS Proton a execução de operações relacionadas à sincronização de modelos. A política é usada na função AWSServiceRoleForProtonSyncvinculada ao serviço.	23 de novembro de 2021
AWSProtonFullAccess – Nova política	AWS Proton adicionou uma nova política para fornecer acesso de funções administrativas às operações da AWS Proton API e ao AWS Proton console.	9 de junho de 2021
AWSProtonDeveloperAccess – Nova política	AWS Proton adicionou uma nova política para fornecer acesso à função de desenvolvedor às operações da AWS Proton API e ao AWS Proton console.	9 de junho de 2021
AWSProtonReadOnlyAccess – Nova política	AWS Proton adicionou uma nova política para fornecer acesso somente de leitura às operações AWS Proton da API e ao AWS Proton console.	9 de junho de 2021
AWS Proton começou a rastrear as alterações.	AWS Proton começou a rastrear as mudanças em suas políticas AWS gerenciadas.	9 de junho de 2021

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Exemplos de políticas baseadas em chaves de condição

Usar perfis vinculados a serviço