Identitäts- und Zugriffsmanagement für AWS CodeStar Benachrichtigungen und AWS CodeConnections

AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer authentifiziert (angemeldet) und autorisiert werden kann (über Berechtigungen verfügt), AWS CodeStar Benachrichtigungen und Ressourcen zu verwenden. AWS CodeConnections IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.

Anmerkung

Aktionen für Ressourcen, die unter dem neuen Dienstpräfix erstellt wurden, codeconnections sind verfügbar. Wenn Sie eine Ressource unter dem neuen Dienstpräfix erstellen, wird sie codeconnections im Ressourcen-ARN verwendet. Aktionen und Ressourcen für das codestar-connections Dienstpräfix bleiben verfügbar. Wenn Sie eine Ressource in der IAM-Richtlinie angeben, muss das Dienstpräfix mit dem der Ressource übereinstimmen.

Themen

• Zielgruppe
• Authentifizierung mit Identitäten
• Verwalten des Zugriffs mit Richtlinien
• Funktionsweise von Funktionen in der Entwicklertools-Konsole mit IAM
• AWS CodeConnections Referenz zu Berechtigungen
• Beispiele für identitätsbasierte Richtlinien
• Verwendung von Tags zur Steuerung des Zugriffs auf AWS CodeConnections Ressourcen
• Verwenden von Notifications und Connections in der Konsole
• Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
• Fehlerbehebung bei AWS CodeStar Benachrichtigungen sowie AWS CodeConnections Identität und Zugriff
• Verwenden von serviceverknüpften Rollen für Benachrichtigungen AWS CodeStar
• Verwenden von serviceverknüpften Rollen für AWS CodeConnections
• AWS verwaltete Richtlinien für AWS CodeConnections

Zielgruppe

Die Art und Weise, wie Sie AWS Identity and Access Management (IAM) verwenden, unterscheidet sich je nach der Arbeit, die Sie unter AWS CodeStar Benachrichtigungen und ausführen. AWS CodeConnections

Dienstbenutzer — Wenn Sie die AWS CodeStar Benachrichtigungen und den AWS CodeConnections Dienst für Ihre Arbeit verwenden, stellt Ihnen Ihr Administrator die erforderlichen Anmeldeinformationen und Berechtigungen zur Verfügung. Wenn Sie für Ihre Arbeit mehr AWS CodeStar Benachrichtigungen und AWS CodeConnections Funktionen verwenden, benötigen Sie möglicherweise zusätzliche Berechtigungen. Wenn Sie die Fuktionsweise der Zugriffskontrolle nachvollziehen, wissen Sie bereits, welche Berechtigungen Sie von Ihrem Administrator anzufordern müssen. Wenn Sie in AWS CodeStar Benachrichtigungen und nicht auf eine Funktion zugreifen können AWS CodeConnections, finden Sie weitere Informationen unterFehlerbehebung bei AWS CodeStar Benachrichtigungen sowie AWS CodeConnections Identität und Zugriff.

Dienstadministrator — Wenn Sie in Ihrem Unternehmen für AWS CodeStar Benachrichtigungen und AWS CodeConnections Ressourcen zuständig sind, haben Sie wahrscheinlich vollen Zugriff auf AWS CodeStar Benachrichtigungen und AWS CodeConnections. Es ist Ihre Aufgabe, zu bestimmen, auf welche AWS CodeStar Benachrichtigungen und AWS CodeConnections Funktionen und Ressourcen Ihre Servicebenutzer zugreifen sollen. Sie müssen dann Anträge an Ihren IAM-Administrator stellen, um die Berechtigungen Ihrer Servicenutzer zu ändern. Lesen Sie die Informationen auf dieser Seite, um die Grundkonzepte von IAM nachzuvollziehen. Weitere Informationen darüber, wie Ihr Unternehmen IAM mit AWS CodeStar Benachrichtigungen und verwenden kann AWS CodeConnections, finden Sie unterFunktionsweise von Funktionen in der Entwicklertools-Konsole mit IAM.

IAM-Administrator — Wenn Sie ein IAM-Administrator sind, möchten Sie vielleicht mehr darüber erfahren, wie Sie Richtlinien schreiben können, um den Zugriff auf Benachrichtigungen und zu verwalten. AWS CodeStar AWS CodeConnections Beispiele für AWS CodeStar Benachrichtigungen und AWS CodeConnections identitätsbasierte Richtlinien, die Sie in IAM verwenden können, finden Sie unter. Beispiele für identitätsbasierte Richtlinien

Authentifizierung mit Identitäten

Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen als IAM-Benutzer authentifiziert (angemeldet AWS) sein oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos

Sie können sich AWS als föderierte Identität anmelden, indem Sie Anmeldeinformationen verwenden, die über eine Identitätsquelle bereitgestellt wurden. AWS IAM Identity Center (IAM Identity Center) -Benutzer, die Single Sign-On-Authentifizierung Ihres Unternehmens und Ihre Google- oder Facebook-Anmeldeinformationen sind Beispiele für föderierte Identitäten. Wenn Sie sich als Verbundidentität anmelden, hat der Administrator vorher mithilfe von IAM-Rollen einen Identitätsverbund eingerichtet. Wenn Sie über den Verbund darauf zugreifen AWS , übernehmen Sie indirekt eine Rolle.

Je nachdem, welcher Benutzertyp Sie sind, können Sie sich beim AWS Management Console oder beim AWS Zugangsportal anmelden. Weitere Informationen zur Anmeldung finden Sie AWS unter So melden Sie sich bei Ihrem an AWS-Konto im AWS-Anmeldung Benutzerhandbuch.

Wenn Sie AWS programmgesteuert zugreifen, AWS stellt es ein Software Development Kit (SDK) und eine Befehlszeilenschnittstelle (CLI) bereit, um Ihre Anfragen mithilfe Ihrer Anmeldeinformationen kryptografisch zu signieren. Wenn Sie keine AWS Tools verwenden, müssen Sie Anfragen selbst signieren. Weitere Informationen zur Verwendung der empfohlenen Methode, um Anfragen selbst zu signieren, finden Sie im IAM-Benutzerhandbuch unter AWS API-Anfragen signieren.

Unabhängig von der verwendeten Authentifizierungsmethode müssen Sie möglicherweise zusätzliche Sicherheitsinformationen angeben. AWS Empfiehlt beispielsweise, die Multi-Faktor-Authentifizierung (MFA) zu verwenden, um die Sicherheit Ihres Kontos zu erhöhen. Weitere Informationen finden Sie unter Multi-Faktor-Authentifizierung im AWS IAM Identity Center -Benutzerhandbuch und Verwenden der Multi-Faktor-Authentifizierung (MFA) in AWS im IAM-Benutzerhandbuch.

Root-Benutzer des AWS-Kontos

Wenn Sie eine erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, die vollständigen Zugriff auf alle Ressourcen im AWS-Services Konto hat. Diese Identität wird als AWS-Konto Root-Benutzer bezeichnet. Sie können darauf zugreifen, indem Sie sich mit der E-Mail-Adresse und dem Passwort anmelden, mit denen Sie das Konto erstellt haben. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Schützen Sie Ihre Root-Benutzer-Anmeldeinformationen und verwenden Sie diese, um die Aufgaben auszuführen, die nur der Root-Benutzer ausführen kann. Eine vollständige Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter Aufgaben, die Root-Benutzer-Anmeldeinformationen erfordern im IAM-Benutzerhandbuch.

IAM-Benutzer und -Gruppen

Ein IAM-Benutzer ist eine Identität innerhalb von Ihnen AWS-Konto , die über spezifische Berechtigungen für eine einzelne Person oder Anwendung verfügt. Wenn möglich, empfehlen wir, temporäre Anmeldeinformationen zu verwenden, anstatt IAM-Benutzer zu erstellen, die langfristige Anmeldeinformationen wie Passwörter und Zugriffsschlüssel haben. Bei speziellen Anwendungsfällen, die langfristige Anmeldeinformationen mit IAM-Benutzern erfordern, empfehlen wir jedoch, die Zugriffsschlüssel zu rotieren. Weitere Informationen finden Sie unter Regelmäßiges Rotieren von Zugriffsschlüsseln für Anwendungsfälle, die langfristige Anmeldeinformationen erfordern im IAM-Benutzerhandbuch.

Eine IAM-Gruppe ist eine Identität, die eine Sammlung von IAM-Benutzern angibt. Sie können sich nicht als Gruppe anmelden. Mithilfe von Gruppen können Sie Berechtigungen für mehrere Benutzer gleichzeitig angeben. Gruppen vereinfachen die Verwaltung von Berechtigungen, wenn es zahlreiche Benutzer gibt. Sie könnten beispielsweise einer Gruppe mit dem Namen IAMAdmins Berechtigungen zum Verwalten von IAM-Ressourcen erteilen.

Benutzer unterscheiden sich von Rollen. Ein Benutzer ist einer einzigen Person oder Anwendung eindeutig zugeordnet. Eine Rolle kann von allen Personen angenommen werden, die sie benötigen. Benutzer besitzen dauerhafte Anmeldeinformationen. Rollen stellen temporäre Anmeldeinformationen bereit. Weitere Informationen finden Sie unter Erstellen eines IAM-Benutzers (anstatt einer Rolle) im IAM-Benutzerhandbuch.

IAM-Rollen

Eine IAM-Rolle ist eine Identität innerhalb Ihres Unternehmens AWS-Konto , die über bestimmte Berechtigungen verfügt. Sie ist einem IAM-Benutzer vergleichbar, ist aber nicht mit einer bestimmten Person verknüpft. Sie können vorübergehend eine IAM-Rolle in der übernehmen, AWS Management Console indem Sie die Rollen wechseln. Sie können eine Rolle übernehmen, indem Sie eine AWS CLI oder AWS API-Operation aufrufen oder eine benutzerdefinierte URL verwenden. Weitere Informationen zu Methoden für die Verwendung von Rollen finden Sie unter Verwenden von IAM-Rollen im IAM-Benutzerhandbuch.

IAM-Rollen mit temporären Anmeldeinformationen sind in folgenden Situationen hilfreich:

• Verbundbenutzerzugriff – Um einer Verbundidentität Berechtigungen zuzuweisen, erstellen Sie eine Rolle und definieren Berechtigungen für die Rolle. Wird eine Verbundidentität authentifiziert, so wird die Identität der Rolle zugeordnet und erhält die von der Rolle definierten Berechtigungen. Informationen zu Rollen für den Verbund finden Sie unter Erstellen von Rollen für externe Identitätsanbieter im IAM-Benutzerhandbuch. Wenn Sie IAM Identity Center verwenden, konfigurieren Sie einen Berechtigungssatz. Wenn Sie steuern möchten, worauf Ihre Identitäten nach der Authentifizierung zugreifen können, korreliert IAM Identity Center den Berechtigungssatz mit einer Rolle in IAM. Informationen zu Berechtigungssätzen finden Sie unter Berechtigungssätze im AWS IAM Identity Center -Benutzerhandbuch.

• Temporäre IAM-Benutzerberechtigungen – Ein IAM-Benutzer oder eine -Rolle kann eine IAM-Rolle übernehmen, um vorübergehend andere Berechtigungen für eine bestimmte Aufgabe zu erhalten.

• Kontoübergreifender Zugriff – Sie können eine IAM-Rolle verwenden, um einem vertrauenswürdigen Prinzipal in einem anderen Konto den Zugriff auf Ressourcen in Ihrem Konto zu ermöglichen. Rollen stellen die primäre Möglichkeit dar, um kontoübergreifendem Zugriff zu gewähren. Bei einigen können Sie AWS-Services jedoch eine Richtlinie direkt an eine Ressource anhängen (anstatt eine Rolle als Proxy zu verwenden). Informationen zu den Unterschieden zwischen Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter So unterscheiden sich IAM-Rollen von ressourcenbasierten Richtlinien im IAM-Benutzerhandbuch.

• Serviceübergreifender Zugriff — Einige AWS-Services verwenden Funktionen in anderen AWS-Services. Wenn Sie beispielsweise einen Aufruf in einem Service tätigen, führt dieser Service häufig Anwendungen in Amazon-EC2 aus oder speichert Objekte in Amazon-S3. Ein Dienst kann dies mit den Berechtigungen des aufrufenden Prinzipals mit einer Servicerolle oder mit einer serviceverknüpften Rolle tun.

  • Forward Access Sessions (FAS) — Wenn Sie einen IAM-Benutzer oder eine IAM-Rolle verwenden, um Aktionen auszuführen AWS, gelten Sie als Principal. Bei einigen Services könnte es Aktionen geben, die dann eine andere Aktion in einem anderen Service initiieren. FAS verwendet die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anfrage, Anfragen an AWS-Service nachgelagerte Dienste zu stellen. FAS-Anfragen werden nur gestellt, wenn ein Dienst eine Anfrage erhält, für deren Abschluss Interaktionen mit anderen AWS-Services oder Ressourcen erforderlich sind. In diesem Fall müssen Sie über Berechtigungen zum Ausführen beider Aktionen verfügen. Einzelheiten zu den Richtlinien für FAS-Anfragen finden Sie unter Zugriffssitzungen weiterleiten.

  • Servicerolle – Eine Servicerolle ist eine IAM-Rolle, die ein Service übernimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service im IAM-Benutzerhandbuch.

  • Dienstbezogene Rolle — Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Servicebezogene Rollen erscheinen in Ihrem Dienst AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.

• Auf Amazon EC2 ausgeführte Anwendungen — Sie können eine IAM-Rolle verwenden, um temporäre Anmeldeinformationen für Anwendungen zu verwalten, die auf einer EC2-Instance ausgeführt werden und API-Anfragen stellen AWS CLI . AWS Das ist eher zu empfehlen, als Zugriffsschlüssel innerhalb der EC2-Instance zu speichern. Um einer EC2-Instance eine AWS Rolle zuzuweisen und sie allen ihren Anwendungen zur Verfügung zu stellen, erstellen Sie ein Instance-Profil, das an die Instance angehängt ist. Ein Instance-Profil enthält die Rolle und ermöglicht, dass Programme, die in der EC2-Instance ausgeführt werden, temporäre Anmeldeinformationen erhalten. Weitere Informationen finden Sie unter Verwenden einer IAM-Rolle zum Erteilen von Berechtigungen für Anwendungen, die auf Amazon-EC2-Instances ausgeführt werden im IAM-Benutzerhandbuch.

Informationen dazu, wann Sie IAM-Rollen oder IAM-Benutzer verwenden sollten, finden Sie unter Erstellen einer IAM-Rolle (anstatt eines Benutzers) im IAM-Benutzerhandbuch.

Verwalten des Zugriffs mit Richtlinien

Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie ist ein Objekt, AWS das, wenn es einer Identität oder Ressource zugeordnet ist, deren Berechtigungen definiert. AWS wertet diese Richtlinien aus, wenn ein Prinzipal (Benutzer, Root-Benutzer oder Rollensitzung) eine Anfrage stellt. Berechtigungen in den Richtlinien bestimmen, ob die Anforderung zugelassen oder abgelehnt wird. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu Struktur und Inhalten von JSON-Richtliniendokumenten finden Sie unter Übersicht über JSON-Richtlinien im IAM-Benutzerhandbuch.

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das bedeutet, welcher Prinzipal kann Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen.

Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Der Administrator kann dann die IAM-Richtlinien zu Rollen hinzufügen, und Benutzer können die Rollen annehmen.

IAM-Richtlinien definieren Berechtigungen für eine Aktion unabhängig von der Methode, die Sie zur Ausführung der Aktion verwenden. Angenommen, es gibt eine Richtlinie, die Berechtigungen für die iam:GetRole-Aktion erteilt. Ein Benutzer mit dieser Richtlinie kann Rolleninformationen von der AWS Management Console AWS CLI, der oder der AWS API abrufen.

Identitätsbasierte Richtlinien

Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter Erstellen von IAM-Richtlinien im IAM-Benutzerhandbuch.

Identitätsbasierte Richtlinien können weiter als Inline-Richtlinien oder verwaltete Richtlinien kategorisiert werden. Inline-Richtlinien sind direkt in einen einzelnen Benutzer, eine einzelne Gruppe oder eine einzelne Rolle eingebettet. Verwaltete Richtlinien sind eigenständige Richtlinien, die Sie mehreren Benutzern, Gruppen und Rollen in Ihrem System zuordnen können AWS-Konto. Zu den verwalteten Richtlinien gehören AWS verwaltete Richtlinien und vom Kunden verwaltete Richtlinien. Informationen dazu, wie Sie zwischen einer verwalteten Richtlinie und einer eingebundenen Richtlinie wählen, finden Sie unter Auswahl zwischen verwalteten und eingebundenen Richtlinien im IAM-Benutzerhandbuch.

AWS CodeConnections Referenz zu Berechtigungen

In den folgenden Tabellen sind die einzelnen AWS CodeConnections API-Operationen, die entsprechenden Aktionen, für die Sie Berechtigungen erteilen können, und das Format des Ressourcen-ARN aufgeführt, der für die Erteilung von Berechtigungen verwendet werden soll. Die AWS CodeConnections APIs sind auf der Grundlage des Umfangs der Aktionen, die von dieser API zugelassen sind, in Tabellen gruppiert. Verwenden Sie sie als Referenz, wenn Sie Berechtigungsrichtlinien für eine IAM-Identität (identitätsbasierte Richtlinie) verfassen.

Beim Erstellen einer Berechtigungsrichtlinie geben Sie die Aktionen im Feld Action der Richtlinie an. Sie geben den Ressourcenwert im Feld Resource der Richtlinie als ARN mit oder ohne Platzhalterzeichen (*) an.

Bedingungen in Ihren Verbindungsrichtlinien können Sie mit den Bedingungsschlüsseln ausdrücken, die hier beschrieben und unter Bedingungsschlüssel aufgeführt sind. Sie können auch Bedingungsschlüssel für AWS alle Bereiche verwenden. Eine vollständige Liste der AWS-weiten Schlüssel finden Sie unter Verfügbare Schlüssel im IAM-Benutzerhandbuch.

Um eine Aktion anzugeben, verwenden Sie das Präfix codeconnections gefolgt vom Namen der API-Operation (z. B. codeconnections:ListConnections oder codeconnections:CreateConnection).

Verwenden von Platzhaltern

Sie können ein Platzhalterzeichen (*) in Ihrem ARN verwenden, um mehrere Aktionen oder Ressourcen anzugeben. codeconnections:*Gibt beispielsweise alle Aktionen an und gibt alle AWS CodeConnections Aktionen codeconnections:Get* an, die mit dem Wort beginnen. AWS CodeConnections Get Im folgenden Beispiel wird der Zugriff auf alle Ressourcen erteilt, deren Name mit MyConnection beginnt.

arn:aws:codeconnections:us-west-2:account-ID:connection/*

Sie können Platzhalterzeichen nur für die in der folgenden Tabelle aufgeführten connection-Ressourcen verwenden. Platzhalter können nicht für region- oder account-id-Ressourcen verwendet werden. Weitere Informationen zu Platzhaltern finden Sie unter IAM Identifiers im Benutzerhandbuch von IAM.

Berechtigungen zum Verwalten von Verbindungen

Eine Rolle oder ein Benutzer, der das SDK AWS CLI oder das SDK zum Anzeigen, Erstellen oder Löschen von Verbindungen verwenden soll, sollte über Berechtigungen verfügen, die auf Folgendes beschränkt sind.

Anmerkung

Sie können in der Konsole keine Verbindung nur mit den folgenden Berechtigungen herstellen oder verwenden. Sie müssen die Berechtigungen in Berechtigungen zum Abschließen von Verbindungen hinzufügen.

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections erforderliche Berechtigungen für die Verwaltung von Verbindungen
AWS CodeConnections Aktionen	Erforderliche Berechtigungen	Ressourcen
CreateConnection	codeconnections:CreateConnection Ist erforderlich, um mit der CLI bzw. der Konsole eine Verbindung zu erstellen.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
DeleteConnection	codeconnections:DeleteConnection Ist erforderlich, um mit der CLI bzw. der Konsole eine Verbindung zu löschen.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
GetConnection	codeconnections:GetConnection Ist erforderlich, um mit der CLI bzw. der Konsole Details zu einer Verbindung zu sehen.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListConnections	codeconnections:ListConnections Ist erforderlich, um mit der CLI bzw. der Konsole alle Verbindungen im Konto zu sehen.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID

Diese Vorgänge unterstützen die folgenden Bedingungsschlüssel:

Aktion	Bedingungsschlüssel
codeconnections:CreateConnection	codeconnections:ProviderType
codeconnections:DeleteConnection	N/A
codeconnections:GetConnection	N/A
codeconnections:ListConnections	codeconnections:ProviderTypeFilter

Berechtigungen zum Verwalten von Hosts

Eine Rolle oder ein Benutzer, der AWS CLI bzw. der das SDK zum Anzeigen, Erstellen oder Löschen von Hosts verwenden soll, sollte über folgende Berechtigungen verfügen.

Anmerkung

Sie können im Host keine Verbindung herstellen oder verwenden, wenn nur die folgenden Berechtigungen vorhanden sind. Sie müssen die Berechtigungen in Berechtigungen zum Einrichten von Hosts hinzufügen.

codeconnections:CreateHost
codeconnections:DeleteHost
codeconnections:GetHost
codeconnections:ListHosts

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections erforderliche Berechtigungen für die Verwaltung von Hosts
AWS CodeConnections Aktionen	Erforderliche Berechtigungen	Ressourcen
CreateHost	codeconnections:CreateHost Ist erforderlich, um mit der CLI bzw. der Konsole einen Host zu erstellen.	arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID
DeleteHost	codeconnections:DeleteHost Ist erforderlich, um mit der CLI bzw. der Konsole einen Host zu löschen.	Codeverbindungen: Region: Konto-ID: Host/Host-ID
GetHost	codeconnections:GetHost Ist erforderlich, um mit der CLI bzw. der Konsole Details zu einem Host zu sehen.	arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID
ListHosts	codeconnections:ListHosts Ist erforderlich, um mit der CLI bzw. der Konsole alle Hosts im Konto zu sehen.	arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID

Diese Vorgänge unterstützen die folgenden Bedingungsschlüssel:

Aktion	Bedingungsschlüssel
codeconnections:CreateHost	codeconnections:ProviderType
codeconnections:DeleteHost	N/A
codeconnections:GetHost	N/A
codeconnections:ListHosts	codeconnections:ProviderTypeFilter

Berechtigungen zum Abschließen von Verbindungen

Eine Rolle oder ein Benutzer, die bzw. der zum Verwalten von Verbindungen in der Konsole bestimmt ist, sollte über die erforderlichen Berechtigungen verfügen, um eine Verbindung in der Konsole abzuschließen und eine Installation zu erstellen. Dazu gehören das Autorisieren des Handshakes beim Anbieter und das Erstellen von Installationen für Verbindungen. Verwenden Sie die folgenden Berechtigungen zusätzlich zu den oben genannten Berechtigungen.

Die folgenden IAM-Vorgänge werden von der Konsole verwendet, wenn Sie einen browserbasierten Handshake ausführen. ListInstallationTargets, GetInstallationUrl, StartOAuthHandshake, UpdateConnectionInstallation und GetIndividualAccessToken sind IAM-Richtlinienberechtigungen. Es handelt sich dabei nicht um API-Aktionen.

codeconnections:GetIndividualAccessToken
codeconnections:GetInstallationUrl
codeconnections:ListInstallationTargets
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation

Auf dieser Grundlage sind die folgenden Berechtigungen erforderlich, um eine Verbindung in der Konsole zu verwenden, zu erstellen, zu ändern oder zu löschen:

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections -Berechtigungen zum Abschließen der Hosteinrichtung
AWS CodeConnections Aktionen	Erforderliche Berechtigungen	Ressourcen
GetIndividualAccessToken	codeconnections:GetIndividualAccessToken Ist erforderlich, um mit der Konsole eine Verbindung abzuschließen. Dies ist nur eine IAM-Richtlinienberechtigung, keine API-Aktion.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
GetInstallationUrl	codeconnections:GetInstallationUrl Ist erforderlich, um mit der Konsole eine Verbindung abzuschließen. Dies ist nur eine IAM-Richtlinienberechtigung, keine API-Aktion.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListInstallationTargets	codeconnections:ListInstallationTargets Ist erforderlich, um mit der Konsole eine Verbindung abzuschließen. Dies ist nur eine IAM-Richtlinienberechtigung, keine API-Aktion.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
StartOAuthHandshake	codeconnections:StartOAuthHandshake Ist erforderlich, um mit der Konsole eine Verbindung abzuschließen. Dies ist nur eine IAM-Richtlinienberechtigung, keine API-Aktion.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
UpdateConnectionInstallation	codeconnections:UpdateConnectionInstallation Ist erforderlich, um mit der Konsole eine Verbindung abzuschließen. Dies ist nur eine IAM-Richtlinienberechtigung, keine API-Aktion.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID

Diese Vorgänge unterstützen die folgenden Bedingungsschlüssel:

Aktion	Bedingungsschlüssel
codeconnections:GetIndividualAccessToken	codeconnections:ProviderType
codeconnections:GetInstallationUrl	codeconnections:ProviderType
codeconnections:ListInstallationTargets	N/A
codeconnections:StartOAuthHandshake	codeconnections:ProviderType
codeconnections:UpdateConnectionInstallation	codeconnections:InstallationId

Berechtigungen zum Einrichten von Hosts

Eine Rolle oder ein Benutzer, die bzw. der zum Verwalten von Verbindungen in der Konsole bestimmt ist, sollte über die erforderlichen Berechtigungen verfügen, um einen Host in der Konsole zu erstellen. Dazu gehören das Autorisieren des Handshakes beim Anbieter und das Installieren der Host-App. Verwenden Sie die folgenden Berechtigungen zusätzlich zu den oben genannten Berechtigungen für Hosts.

Die folgenden IAM-Vorgänge werden von der Konsole verwendet, wenn Sie eine browserbasierte Hostregistrierung durchführen. RegisterAppCode und StartAppRegistrationHandshake sind IAM-Richtlinienberechtigungen. Es handelt sich dabei nicht um API-Aktionen.

codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

Dementsprechend sind die folgenden Berechtigungen erforderlich, damit Sie eine Verbindung in der Konsole verwenden, erstellen, ändern oder löschen können, für die ein Host erforderlich ist (z. B. installierte Anbietertypen).

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken
codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections erforderliche Berechtigungen für den Abschluss des Host-Setups
Verbindungen und Aktionen	Erforderliche Berechtigungen	Ressourcen
RegisterAppCode	codeconnections:RegisterAppCode Erforderlich, um die Hosteinrichtung mit der Konsole abzuschließen. Dies ist nur eine IAM-Richtlinienberechtigung, keine API-Aktion.	arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID
StartAppRegistrationHandshake	codeconnections:StartAppRegistrationHandshake Erforderlich, um die Hosteinrichtung mit der Konsole abzuschließen. Dies ist nur eine IAM-Richtlinienberechtigung, keine API-Aktion.	arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID

Diese Vorgänge unterstützen die folgenden Bedingungsschlüssel:

Übergeben einer Verbindung an einen Service

Wenn eine Verbindung an einen Service übergeben wird (z. B. wenn ein Verbindungs-ARN in einer Pipeline-Definition bereitgestellt wird, um eine Pipeline zu erstellen oder zu ändern), muss der Benutzer über die codeconnections:PassConnection-Berechtigung verfügen.

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections erforderliche Berechtigungen für die Weitergabe einer Verbindung
AWS CodeConnections Aktionen	Erforderliche Berechtigungen	Ressourcen
PassConnection	codeconnections:PassConnection Ist erforderlich, um eine Verbindung an einen Service zu übergeben.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID

Dieser Vorgang unterstützt auch den folgenden Bedingungsschlüssel:

• codeconnections:PassedToService

Unterstützte Werte für Bedingungsschlüssel
Schlüssel	Gültige Aktionsanbieter
codeconnections:PassedToService	codeguru-reviewer codepipeline.amazonaws.com proton.amazonaws.com

Verwenden einer Verbindung

Wenn ein Dienst wie eine Verbindung CodePipeline verwendet, muss die Dienstrolle über die codeconnections:UseConnection Berechtigung für eine bestimmte Verbindung verfügen.

Um Verbindungen in der Konsole zu verwalten, muss die Benutzerrichtlinie die codeconnections:UseConnection-Berechtigung haben.

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections erforderliche Aktion für die Verwendung von Verbindungen
AWS CodeConnections Aktionen	Erforderliche Berechtigungen	Ressourcen
UseConnection	codeconnections:UseConnection Ist erforderlich zum Verwenden einer Verbindung.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID

Dieser Vorgang unterstützt auch die folgenden Bedingungsschlüssel:

• codeconnections:BranchName

• codeconnections:FullRepositoryId

• codeconnections:OwnerId

• codeconnections:ProviderAction

• codeconnections:ProviderPermissionsRequired

• codeconnections:RepositoryName

Unterstützte Werte für Bedingungsschlüssel
Schlüssel	Gültige Aktionsanbieter
codeconnections:FullRepositoryId	Der Benutzername und der Repository-Name eines Repositorys, wie etwa my-owner/my-repository. Wird nur unterstützt, wenn die Verbindung für den Zugriff auf ein bestimmtes Repository verwendet wird.
codeconnections:ProviderPermissionsRequired	read_only oder read_write
codeconnections:ProviderAction	GetBranch, ListRepositories, ListOwners, ListBranches, StartUploadArchiveToS3, GitPush, GitPull, GetUploadArchiveToS3Status, CreatePullRequestDiffComment, GetPullRequest, ListBranchCommits, ListCommitFiles, ListPullRequestComments, ListPullRequestCommits. Weitere Informationen finden Sie im folgenden Abschnitt.

Die erforderlichen Bedingungsschlüssel für einige Funktionen können sich im Laufe der Zeit ändern. Es wird empfohlen, den Zugriff auf eine Verbindung mit codeconnections:UseConnection zu kontrollieren, es sei denn, Ihre Zugriffskontrollanforderungen erfordern andere Berechtigungen.

Unterstützte Zugriffstypen für ProviderAction

Wenn eine Verbindung von einem AWS Dienst verwendet wird, führt dies dazu, dass API-Aufrufe an Ihren Quellcode-Anbieter getätigt werden. Beispielsweise kann ein Service Repositorys für eine Bitbucket-Verbindung auflisten, indem er die https://api.bitbucket.org/2.0/repositories/username-API aufruft.

Mit dem ProviderAction-Bedingungsschlüssel können Sie einschränken, welche APIs eines Anbieters aufgerufen werden können. Da der API-Pfad möglicherweise dynamisch generiert wird und der Pfad von Anbieter zu Anbieter variiert, wird der ProviderAction-Wert einem abstrakten Aktionsnamen und nicht der URL der API zugeordnet. Auf diese Weise können Sie Richtlinien schreiben, die unabhängig vom Anbietertyp für die Verbindung dieselbe Wirkung haben.

Im Folgenden sind die Zugriffstypen aufgeführt, die für jeden der unterstützten ProviderAction-Werte gewährt werden. Das folgende Beispiel zeigt IAM-Richtlinienberechtigungen. Es handelt sich dabei nicht um API-Aktionen.

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections unterstützte Zugriffsarten für ProviderAction
AWS CodeConnections Erlaubnis	Erforderliche Berechtigungen	Ressourcen
GetBranch	codeconnections:GetBranch Ist erforderlich zum Zugreifen auf Informationen über eine Verzweigung, z. B. das letzte Commit für diese Verzweigung.	arn:aws:codeconnections: region: konto-id: verbindung/verbindungs-ID
ListRepositories	codeconnections:ListRepositories Ist erforderlich zum Abrufen einer Liste von öffentlichen und privaten Repositorys, einschließlich Details zu den Repositorys, die einem Besitzer gehören.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListOwners	codeconnections:ListOwners Ist erforderlich zum Aufrufen einer Liste von Besitzern, auf die die Verbindung Zugriff hat.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListBranches	codeconnections:ListBranches Ist erforderlich zum Abrufen einer Liste der Verzweigungen, die in einem bestimmten Repository vorhanden sind.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
StartUploadArchiveToS3	codeconnections:StartUploadArchiveToS3 Ist erforderlich, um den Quellcode zu lesen und auf Amazon S3 hochzuladen.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
GitPush	codeconnections:GitPush Ist erforderlich zum Schreiben eines Repositorys mit Git.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
GitPull	codeconnections:GitPull Ist erforderlich zum Lesen eines Git aus einem Repository.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
GetUploadArchiveToS3Status	codeconnections:GetUploadArchiveToS3Status Ist erforderlich zum Aufrufen des Status eines Uploads, einschließlich aller Fehlermeldungen, die von StartUploadArchiveToS3 gestartet werden.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
CreatePullRequestDiffComment	codeconnections:CreatePullRequestDiffComment Ist erforderlich für den Zugriff auf Kommentare zu einer Pull-Anforderung.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
GetPullRequest	codeconnections:GetPullRequest Ist erforderlich zum Anzeigen von Pull-Anforderungen für ein Repository.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListBranchCommits	codeconnections:ListBranchCommits Ist erforderlich zum Anzeigen einer Liste von Commits für eine Repository-Verzweigung.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListCommitFiles	codeconnections:ListCommitFiles Ist erforderlich zum Anzeigen einer Liste von Dateien für ein Commit.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListPullRequestComments	codeconnections:ListPullRequestComments Ist erforderlich zum Anzeigen einer Liste mit Kommentaren für eine Pull-Anforderung.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID
ListPullRequestCommits	codeconnections:ListPullRequestCommits Ist erforderlich zum Anzeigen einer Liste von Commits für eine Pull-Anforderung.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID

Unterstütze Berechtigungen für das Markieren von Verbindungsressourcen

Die folgenden IAM-Vorgänge werden beim Markieren von Verbindungsressourcen verwendet.

codeconnections:ListTagsForResource
codeconnections:TagResource
codeconnections:UntagResource

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections erforderliche Aktionen zum Markieren von Verbindungsressourcen
AWS CodeConnections Aktionen	Erforderliche Berechtigungen	Ressourcen
ListTagsForResource	codeconnections:ListTagsForResource Ist erforderlich zum Anzeigen einer Liste von Markierungen, die mit der Verbindungsressource verknüpft sind.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID , arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID
TagResource	codeconnections:TagResource Ist erforderlich zum Markieren einer Verbindungsressource.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID , arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID
UntagResource	codeconnections:UntagResource Ist erforderlich zum Entfernen von Markierungen bei einer Ressource.	arn:aws:codeconnections: Region: Konto-ID: Verbindung/Verbindungs-ID , arn:aws:codeconnections: Region: Konto-ID: Host/Host-ID

Übergeben einer Verbindung an einen Repository-Link

Wenn ein Repository-Link in einer Synchronisierungskonfiguration bereitgestellt wird, muss der Benutzer über die codeconnections:PassRepository-Berechtigung für den Repository-Link ARN/die Resource verfügen.

Mit den Bildlaufleisten können Sie den Rest der Tabelle sehen.

AWS CodeConnections erforderliche Berechtigungen für das Weiterleiten einer Verbindung
AWS CodeConnections Aktionen	Erforderliche Berechtigungen	Ressourcen
PassRepository	codeconnections:PassRepository Dies ist erforderlich, um einen Repository-Link an eine Synchronisierungskonfiguration zu übergeben.	arn:aws:codeconnections: region: konto-id: repository-link/ repository-link-id

Dieser Vorgang unterstützt auch den folgenden Bedingungsschlüssel:

• codeconnections:PassedToService

Unterstützte Werte für Bedingungsschlüssel
Schlüssel	Gültige Aktionsanbieter
codeconnections:PassedToService	cloudformation.sync.codeconnections.amazonaws.com

Unterstützter Bedingungsschlüssel für Repository-Links

Operationen für Repository-Links und Sync-Konfigurationsressourcen werden durch den folgenden Bedingungsschlüssel unterstützt:

• codeconnections:Branch

  Filtert den Zugriff nach dem Zweignamen, der in der Anforderung übergeben wird.

Unterstützte Aktionen für den Bedingungsschlüssel
Schlüssel	Zulässige Werte
codeconnections:Branch	Die folgenden Aktionen werden für diesen Bedingungsschlüssel unterstützt: CreateSyncConfiguration UpdateSyncConfiguration GetRepositorySyncStatus

Verwenden von Notifications und Connections in der Konsole

Die Benachrichtigungserfahrung ist in die CodePipeline Konsolen CodeBuild CodeCommit CodeDeploy,, und sowie in die Developer Tools-Konsole in der Navigationsleiste „Einstellungen“ selbst integriert. Um auf Benachrichtigungen in den Konsolen zuzugreifen, muss entweder eine der verwalteten Richtlinien für diese Services für Sie angewendet sein oder Sie müssen über einen Mindestsatz an Berechtigungen verfügen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den AWS CodeStar Benachrichtigungen und AWS CodeConnections Ressourcen in Ihrem AWS Konto aufzulisten und einzusehen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (IAM-Benutzer oder -Rollen) mit dieser Richtlinie. Weitere Informationen zur Gewährung von Zugriff auf AWS CodeBuild, AWS CodeCommit, und AWS CodeDeploy AWS CodePipeline, einschließlich Zugriff auf diese Konsolen, finden Sie in den folgenden Themen:

• CodeBuild: Verwendung identitätsbasierter Richtlinien für CodeBuild

• CodeCommit: Verwendung identitätsbasierter Richtlinien für CodeCommit

• AWS CodeDeploy: Identitäts- und Zugriffsmanagement für AWS CodeDeploy

• CodePipeline: Zugriffskontrolle mit IAM-Richtlinien

AWS CodeStar Für Benachrichtigungen gibt AWS es keine verwalteten Richtlinien. Um Zugriff auf Benachrichtigungsfunktionen zu ermöglichen, müssen Sie entweder eine der verwalteten Richtlinien für einen der oben aufgeführten Services anwenden oder Richtlinien mit der Berechtigungsstufe erstellen, die Sie Benutzern oder Entitäten erteilen möchten, und diese Richtlinien dann den Benutzern, Gruppen oder Rollen anfügen, die die Berechtigungen benötigen. Weitere Informationen finden Sie in den folgenden Beispielen:

• Beispiel: Eine Richtlinie auf Administratorebene für die Verwaltung von Benachrichtigungen AWS CodeStar

• Beispiel: Eine Richtlinie auf Mitwirkendenebene für die Verwendung von Benachrichtigungen AWS CodeStar

• Beispiel: Eine read-only-level Richtlinie für die Verwendung von AWS CodeStar Benachrichtigungen.

AWS CodeConnections hat keine AWS verwalteten Richtlinien. Sie verwenden die Berechtigungen und Kombinationen von Berechtigungen für den Zugriff, z. B. die Berechtigungen, die unter Berechtigungen zum Abschließen von Verbindungen beschrieben ist.

Weitere Informationen finden Sie hier:

• Beispiel: Eine Richtlinie auf Administratorebene für die Verwaltung AWS CodeConnections

• Beispiel: Eine Richtlinie auf Mitwirkendenebene für die Verwendung AWS CodeConnections

• Beispiel: Eine read-only-level Richtlinie für die Verwendung AWS CodeConnections

Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Konsolenberechtigungen gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die den API-Operation entsprechen, die Sie ausführen möchten.

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der API AWS CLI oder AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}