View a markdown version of this page

附录 A： GitHub （通过 OAuth 应用程序）源操作 - AWS CodePipeline
添加 GitHub （通过 OAuth 应用程序）源操作GitHub （通过 OAuth 应用程序）源操作参考

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

附录 A： GitHub （通过 OAuth 应用程序）源操作

本附录提供了有关中 GitHub （通过 OAuth 应用程序）操作的信息。 CodePipeline

注意

虽然我们不建议使用 GitHub （通过 OAuth 应用程序）操作，但带有 GitHub （通过 OAuth 应用程序）操作的现有管道将继续运行，不会产生任何影响。对于带有 GitHub （通过 OAuth 应用程序）操作的管道， CodePipeline 使用 OAuth-based 令牌连接到您的 GitHub存储库。相比之下，该 GitHub 操作（通过 GitHub 应用程序）使用连接资源将 AWS 资源关联到您的 GitHub 存储库。该连接资源使用基于应用的令牌进行连接。有关将管道更新为使用连接的建议 GitHub操作的更多信息，请参阅将 GitHub （通过 OAuth 应用程序）源操作更新为 GitHub （通过 GitHub 应用程序）源操作。有关 OAuth-based GitHub 访问权限与基于应用程序 GitHub 的访问权限的对比的更多信息，请参阅https://docs.github.com/en/developers/apps/differences-between-github-apps-and-oauth-apps。

要与集成 GitHub，请在您的 GitHub 管道中 CodePipeline 使用 OAuth 应用程序。 CodePipeline使用 webhook 通过 GitHub （通过 OAuth 应用程序）源操作管理管道的变更检测。

注意

在中配置 GitHub （通过 GitHub 应用程序）源操作时 CloudFormation，不要包含任何 GitHub 令牌信息或添加 webhook 资源。您可以按照《 CloudFormation 用户指南》中的AWS::CodeStarConnections:: Connection 所示配置连接资源。

本参考包含 GitHub （通过 OAuth 应用程序）操作的以下部分：

重要

创建 CodePipeline webhook 时，不要使用自己的证书，也不要在多个 webhook 中重复使用相同的密钥令牌。为获得最佳安全性，请为您创建的每个 Webhook 生成一个唯一的密钥令牌。秘密令牌是您提供的任意字符串，用于计算和签署发送到的 GitHub webhook 有效负载 CodePipeline，以保护 webhook 有效负载的完整性和真实性。使用您自己的凭证或在多个 Webhook 中重复使用相同的令牌可能会导致安全漏洞。

注意

如果提供了密钥令牌，则会在响应中对其进行编辑。

添加 GitHub （通过 OAuth 应用程序）源操作

您可以通过以下 GitHub 方式（通过 OAuth 应用程序）将源操作添加到 CodePipeline ：

  • 使用 CodePipeline 控制台创建管道向导 (创建自定义管道（控制台）) 或 “编辑” 操作页面选择GitHub提供商选项。控制台会创建一个 Webhook，用于在源发生变更时启动您的管道。

  • 使用 CLI 添加 GitHub 操作的操作配置并创建其他资源，如下所示：

GitHub （通过 OAuth 应用程序）源操作参考

注意

虽然我们不建议使用 GitHub （通过 OAuth 应用程序）操作，但带有 GitHub （通过 OAuth 应用程序）操作的现有管道将继续运行，不会产生任何影响。对于带有 GitHub （通过 OAuth 应用程序）源操作的管道， CodePipeline 使用 OAuth-based 令牌连接到您的 GitHub 存储库。相比之下，新 GitHub 操作（通过 GitHub 应用程序）使用连接资源将 AWS 资源关联到您的 GitHub 存储库。该连接资源使用基于应用的令牌进行连接。有关将管道更新为使用连接的建议 GitHub 操作的更多信息，请参阅将 GitHub （通过 OAuth 应用程序）源操作更新为 GitHub （通过 GitHub 应用程序）源操作。

在配置的 GitHub 存储库和分支上进行新提交时触发管道。

要与集成 GitHub，请为您的管道 CodePipeline 使用 OAuth 应用程序或个人访问令牌。如果您使用控制台创建或编辑管道，则 CodePipeline 会创建一个 GitHub webhook，当存储库发生更改时启动您的管道。

在通过 GitHub 操作连接管道之前，必须已经创建了 GitHub 帐户和存储库。

如果您想限制对仓库的访问权限 CodePipeline ，请创建一个 GitHub 账户并仅向该账户授予您想要集成的存储库的访问权限 CodePipeline。当您配置 CodePipeline 为使用 GitHub 存储库作为管道中的源阶段时，请使用该帐户。

有关更多信息，请参阅 GitHub 网站上的GitHub 开发者文档。

操作类型

  • 类别：Source

  • 拥有者：ThirdParty

  • 提供方：GitHub

  • 版本：1

配置参数

所有者

是否必需：是

拥有 GitHub存储库的 GitHub 用户或组织的名称。

存储库

是否必需：是

要在其中检测源更改的存储库的名称。

分支

是否必需：是

要在其中检测源更改的分支的名称。

OAuthToken

是否必需：是

代表允许 CodePipeline 对您的 GitHub 存储库执行操作的 GitHub 身份验证令牌。条目始终显示为四个星号的掩码。它表示以下值：

  • 当您使用控制台创建管道时， CodePipeline 使用 OAuth 令牌注册连接。 GitHub

  • 当您使用创建管道时，可以在此字段中传递您的 GitHub 个人访问令牌。 AWS CLI 将星号 (****) 替换为从中复制的个人访问令牌。 GitHub在运行 get-pipeline 查看操作配置时，将显示此值的四星号掩码。

  • 当您使用 CloudFormation 模板创建管道时，必须先将令牌作为密钥存储在中 AWS Secrets Manager。您应该动态引用 Secrets Manager 中存储的密钥，将其作为此字段的值包含在内，如 {{resolve:secretsmanager:MyGitHubSecret:SecretString:token}}。

有关 GitHub 范围的更多信息，请参阅 GitHub 网站上的GitHub 开发者 API 参考。

PollForSourceChanges

必需：否

PollForSourceChanges控制是否 CodePipeline 轮询 GitHub存储库以了解源代码更改。我们建议您改为使用 Webhook 来检测源更改。有关配置 Webhook 的更多信息，请参阅将轮询管道迁移到 webhookGitHub （通过 OAuth 应用程序）源操作）(CLI) 或更新推送事件的管道GitHub （通过 OAuth 应用程序）源操作）(CloudFormation 模板）。

重要

如果您要配置 Webhook，则必须将 PollForSourceChanges 设置为 false 以避免重复的管道执行。

此参数的有效值：

  • True：如果已设置，则 CodePipeline 轮询您的存储库是否有源代码更改。

    注意

    如果省略PollForSourceChanges，则 CodePipeline 默认对存储库进行源代码更改。此行为与将 PollForSourceChanges 设置为 true 相同。

  • False：如果已设置，则 CodePipeline 不轮询您的存储库是否有源代码更改。如果您打算配置 Webhook 来检测源更改，请使用此设置。

输入构件

  • 构件数：0

  • 描述：输入构件不适用于此操作类型。

输出构件

  • 构件数：1

  • 描述：此操作的输出构件是一个 ZIP 文件，其中包含在提交时，指定作为管道执行的源修订的已配置存储库和分支的内容。从存储库生成的构件是 GitHub 操作的输出对象。源代码提交 ID 在中 CodePipeline 显示为触发的管道执行的源版本。

输出变量

配置后，此操作会生成变量，该变量可由管道中下游操作的操作配置引用。此操作生成的变量可视为输出变量，即使操作没有命名空间也是如此。您可以使用命名空间配置操作，以使这些变量可用于下游操作的配置。

有关中变量的更多信息 CodePipeline，请参阅变量参考。

CommitId

触发管道执行 GitHub 的提交 ID。提交 ID 是提交的完整 SHA。

CommitMessage

与触发管道执行的提交相关联的描述消息（如果有）。

CommitUrl

触发管道的提交的 URL 地址。

RepositoryName

触发管道的提交所在 GitHub 存储库的名称。

BranchName

进行源代码更改的 GitHub 存储库分支的名称。

AuthorDate

授权提交的日期，采用时间戳格式。

CommitterDate

进行提交的日期，采用时间戳格式。

行动声明（GitHub 示例）

YAML
Name: Source
Actions:
  - InputArtifacts: []
    ActionTypeId:
      Version: '1'
      Owner: ThirdParty
      Category: Source
      Provider: GitHub
    OutputArtifacts:
      - Name: SourceArtifact
    RunOrder: 1
    Configuration:
      Owner: MyGitHubAccountName
      Repo: MyGitHubRepositoryName
      PollForSourceChanges: 'false'
      Branch: main
      OAuthToken: '{{resolve:secretsmanager:MyGitHubSecret:SecretString:token}}'
    Name: ApplicationSource
JSON
{
    "Name": "Source",
    "Actions": [
        {
            "InputArtifacts": [],
            "ActionTypeId": {
                "Version": "1",
                "Owner": "ThirdParty",
                "Category": "Source",
                "Provider": "GitHub"
            },
            "OutputArtifacts": [
                {
                    "Name": "SourceArtifact"
                }
            ],
            "RunOrder": 1,
            "Configuration": {
                "Owner": "MyGitHubAccountName",
                "Repo": "MyGitHubRepositoryName",
                "PollForSourceChanges": "false",
                "Branch": "main",
                "OAuthToken": "{{resolve:secretsmanager:MyGitHubSecret:SecretString:token}}"
            },
            "Name": "ApplicationSource"
        }
    ]
},

连接到 GitHub (OAuth)

首次使用控制台向管道添加 GitHub 存储库时，系统会要求您授予对仓库的 CodePipeline 访问权限。该代币需要以下 GitHub 范围：

  • repo 范围，用于完全控制从公有和私有存储库读取项目并将项目提取到管道中的过程。

  • admin:repo_hook 范围，用于完全控制存储库挂钩。

使用 CLI 或 CloudFormation 模板时，必须提供已在中创建的个人访问令牌的值 GitHub。

下列相关资源在您使用此操作的过程中会有所帮助。