在 CodePipeline 中建立使用其他 AWS 帳戶資源的管道

AWS Management Console 使用 AccountA 登入 並開啟 AWS KMS 主控台。

在左側選擇 Customer managed keys (客戶受管金鑰)。

選擇建立金鑰。在 Configure key (設定金鑰) 中，保持 Symmetric (對稱) 預設值的選取狀態，然後選擇 Next (下一步)。

在 Alias (別名) 中輸入用於此金鑰的別名 (例如 PipelineName-Key)。為此金鑰提供說明和標籤 (選用)，然後選擇 Next (下一步)。

在定義金鑰管理許可中，選擇您要擔任此金鑰管理員的角色，然後選擇下一步。

在定義金鑰使用許可中，在此帳戶下，選取管道的服務角色名稱 （例如 CodePipeline_Service_Role)。在其他 AWS 帳戶下，選擇新增另一個 AWS 帳戶。為 AccountB 輸入帳戶 ID 以完成 ARN，然後選擇 Next (下一步)。

在 Review and edit key policy (檢閱和編輯金鑰政策) 中檢閱政策，然後選擇 Finish (完成)。

從金鑰清單中選擇您的金鑰別名，並複製其 ARN (例如 arn:aws:kms:us-east-2:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE​)。在您編輯管道和設定政策時將需要用到這項資料。

AWS Management Console 使用 AccountA 登入 ，並開啟 Amazon S3 主控台，網址為 https：//https://console.aws.amazon.com/s3/。

在 Amazon S3 儲存貯體清單中，選擇儲存管道成品的 Amazon S3 儲存貯體。此儲存貯體名為 codepipeline-region-1234567EXAMPLE，其中 region 是您建立管道 AWS 的區域，而 1234567EXAMPLE 是十位數的隨機數字，可確保儲存貯體名稱是唯一的 （例如codepipeline-us-east-2-1234567890)。

在 Amazon S3 儲存貯體的詳細資訊頁面上，選擇屬性。

在屬性窗格中，展開 Permissions (許可)，然後選擇 Add bucket policy (新增儲存貯體政策)。

在 Bucket Policy Editor (儲存貯體政策編輯器)​ 視窗中，輸入以下政策。這可讓 AccountB​ 存取管道成品，並授與 AccountB​ 在動作 (例如自訂來源或建置動作) 建立輸出成品時將其新增的能力。

在下列範例中，​AccountB 的 ARN 為 ​012ID_ACCOUNT_B。Amazon S3 儲存貯體的 ARN 是 codepipeline-us-east-2-1234567890。將這些 ARNs 取代為您想要允許存取的帳戶 ARN，以及 Amazon S3 儲存貯體的 ARN：

 {
  "Version": "2012-10-17",
  "Id": "SSEAndSSLPolicy",
  "Statement": [
	{
  	"Sid": "DenyUnEncryptedObjectUploads",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:PutObject",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"StringNotEquals": {
		"s3:x-amz-server-side-encryption": "aws:kms"
		}
	   }
	 },
	{
	  "Sid": "DenyInsecureConnections",
	  "Effect": "Deny",
	  "Principal": "*",
	  "Action": "s3:*",
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*",
	  "Condition": {
		"Bool": {
	  		"aws:SecureTransport": false
			}
		}
	  },
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
		"AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
		},
	  "Action": [
            "s3:Get*",
            "s3:Put*"
        ],
	  "Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
	},
	{
	  "Sid": "",
	  "Effect": "Allow",
	  "Principal": {
	      "AWS": "arn:aws:iam::012ID_ACCOUNT_B:root"
			},
	  "Action": "s3:ListBucket",
  	"Resource": "arn:aws:s3:::codepipeline-us-east-2-1234567890"
	}
   ]
} 

選擇 Save (儲存)，然後關閉政策編輯器。

選擇儲存以儲存 Amazon S3 儲存貯體的許可。

AWS Management Console 使用 AccountA 登入 ，並開啟 IAM 主控台，網址為 https：//https://console.aws.amazon.com/iam/.。

在導覽窗格中，選擇角色。

在角色清單中的角色名稱下，選擇 CodePipeline 的服務角色名稱。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON 索引標籤，然後輸入下列政策，以允許 AccountB 擔任該角色。在下列範例中，​012ID_ACCOUNT_B 為 ​AccountB 的 ARN：

{
   "Version": "2012-10-17",
   "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": [
           "arn:aws:iam::012ID_ACCOUNT_B:role/*"
       ]
   }
 }

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

AWS Management Console 使用 AccountB 登入 ，並開啟 IAM 主控台，網址為 https：//https://console.aws.amazon.com/iam/.。

在導覽窗格中，選擇角色。

在角色清單中的角色名稱下，選擇做為 CodeDeploy 應用程式 Amazon EC2 執行個體角色的服務角色名稱。此角色名稱可能不同，且部署群組可使用一個以上的執行個體角色。如需詳細資訊，請參閱為您的 Amazon EC2 執行個體建立 IAM 執行個體描述檔。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON 索引標籤，然後輸入下列政策，以授予 AccountA 用來存放管道成品的 Amazon S3 儲存貯體存取權 （在此範例中為 codepipeline-us-east-2-1234567890)：

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:Get*"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     },
     {
       "Effect": "Allow",
       "Action": [
         "s3:ListBucket"
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890"
       ]
     }
   ]
 }

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

為 建立第二個政策， AWS KMS 其中 arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE是在 AccountA 中建立的客戶受管金鑰 ARN，並設定為允許 AccountB 使用它：

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
           "kms:DescribeKey",
           "kms:GenerateDataKey*",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:Decrypt"
          ],
        "Resource": [
           "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE"
          ]
      }
   ]
}

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

AWS Management Console 使用 AccountB 登入 ，並開啟 IAM 主控台，網址為 https：//https://console.aws.amazon.com/iam.。

在導覽窗格中，選擇 Roles (角色)。選擇 Create Role (建立角色)。

在 Select type of trusted entity (選取信任的實體類型) 下，選擇 Another AWS account (另一個 帳戶)。在指定可使用此角色的帳戶下，在 AWS 帳戶 ID 中輸入將在 CodePipeline (AccountA) 中建立管道之帳戶的帳戶 ID，然後選擇下一步：許可。

在連接許可政策下，選擇 AmazonS3ReadOnlyAccess，然後選擇下一步：標籤。

選擇下一步：檢閱。在角色名稱中輸入此角色的名稱 （例如 CrossAccount_Role)。只要符合 IAM 中的命名慣例，您就可以將此角色命名為任何您想要的名稱。可考慮給予角色清楚說明其用途的名稱。選擇建立角色。

從角色清單中，選擇您剛建立的角色 （例如 CrossAccount_Role)，以開啟該角色的摘要頁面。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON 索引標籤，然後輸入下列政策以允許存取 CodeDeploy 資源：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codedeploy:CreateDeployment",
        "codedeploy:GetDeployment",
        "codedeploy:GetDeploymentConfig",
        "codedeploy:GetApplicationRevision",
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource": "*"
    }
  ]
}

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

在許可標籤上，選擇新增內嵌政策。

選擇 JSON 索引標籤，然後輸入下列政策，以允許此角色從 AccountA 中的 Amazon S3 儲存貯體擷取輸入成品，並將輸出成品放入其中：

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "s3:GetObject*",
         "s3:PutObject",
         "s3:PutObjectAcl"               
       ],
       "Resource": [
         "arn:aws:s3:::codepipeline-us-east-2-1234567890/*"
       ]
     }
   ]
}

選擇檢閱政策。

在 ​Name (名稱) 中，輸入此政策的名稱。選擇 建立政策。

在許可索引標籤上，在政策名稱下的政策清單中尋找 AmazonS3ReadOnlyAccess，然後選擇政策旁邊的刪除圖示 (X)。出現提示時，選擇 Detach (分離)。

選取信任關係索引標籤，然後選擇編輯信任政策。選擇左欄上的新增委託人選項。針對主體類型，選擇 IAM 角色，然後在 AccountA 中提供 CodePipeline 服務角色的 ARN。arn:aws:iam::Account_A:root 從AWS 委託人清單中移除 ，然後選擇更新政策。

在終端機 (Linux、macOS 或 Unix) 或命令提示字元 (Windows) 中，對您要新增資源的管道執行 get-pipeline命令。複製命令輸出到 JSON 檔案。例如，對於名為 MyFirstPipeline 的管道，您可以輸入類似如下的內容：

aws codepipeline get-pipeline --name MyFirstPipeline >pipeline.json

輸出會傳送至 pipeline.json 檔案。

在任何純文字編輯器中開啟 JSON 檔案。在成品存放"type": "S3"區中，新增 KMS encryptionKey、ID 和類型資訊，其中 codepipeline-us-east-2-1234567890 是用於存放管道成品的 Amazon S3 儲存貯體名稱arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE，也是您剛建立之客戶受管金鑰的 ARN：

{
  "artifactStore”: {
    "location": "codepipeline-us-east-2-1234567890", 
    "type": "S3",
    "encryptionKey": {
      "id": "arn:aws:kms:us-east-1:012ID_ACCOUNT_A:key/2222222-3333333-4444-556677EXAMPLE",
      "type": "KMS"
    }
  },

在階段中新增部署動作，以使用與 AccountB 相關聯的 CodeDeploy 資源，包括您建立的跨帳戶角色 (CrossAccount_Role) roleArn的值。

下列範例顯示 JSON 新增名為 ExternalDeploy​ 的部署動作。它使用在名為預備的階段中，在 AccountB 中建立的 CodeDeploy 資源。在下列範例中，AccountB 的 ARN 為 012ID_ACCOUNT_B：

,
            {
                "name": "Staging",
                "actions": [
                    {
                        "inputArtifacts": [
                            {
                                "name": "MyAppBuild"
                            }
                        ],
                        "name": "ExternalDeploy",
                        "actionTypeId": {
                            "category": "Deploy",
                            "owner": "AWS",
                            "version": "1",
                            "provider": "CodeDeploy"
                        },
                        "outputArtifacts": [],
                        "configuration": {
                            "ApplicationName": "AccountBApplicationName",
                            "DeploymentGroupName": "AccountBApplicationGroupName"
                        },
                        "runOrder": 1,
                        "roleArn": "arn:aws:iam::012ID_ACCOUNT_B:role/CrossAccount_Role"
                    }
                ]
            }

您必須從檔案移除 metadata 行，以讓 update-pipeline 命令可以使用它。從 JSON 檔案的管道結構移除此區段 ("metadata": { } 行以及 "created"、"pipelineARN" 和 "updated" 欄位)。

例如，從結構中移除下列幾行：

"metadata": {  
  "pipelineArn": "arn:aws:codepipeline:region:account-ID:pipeline-name",
  "created": "date",
  "updated": "date"
  }

儲存檔案。

若要套用您的變更，請執行 update-pipeline 命令，並指定管道 JSON 檔案，與下面類似：

aws codepipeline update-pipeline --cli-input-json file://pipeline.json

此命令會傳回所編輯管道的整個結構。

在終端機 (Linux、macOS 或 Unix) 或命令提示字元 (Windows) 執行 start-pipeline-execution命令，指定管道的名稱，如下所示：

aws codepipeline start-pipeline-execution --name MyFirstPipeline

如需詳細資訊，請參閱手動啟動管道。

AWS Management Console 使用 AccountA 登入 ，並開啟 CodePipeline 主控台，網址為 https：//http://console.aws.amazon.com/codesuite/codepipeline/home.。

與 AWS 您的帳戶相關聯的所有管道名稱都會顯示。

在 Name (名稱) 中，選擇您剛編輯的管道名稱。這會開啟管道的詳細檢視，包含管道中各階段的每項動作之狀態。

從管道觀看進度。等待使用與另一個 AWS 帳戶相關聯資源之動作的成功訊息。