AWS políticas gestionadas para AWS CodePipeline

Una política AWS administrada es una política independiente creada y administrada por AWS. AWS Las políticas administradas están diseñadas para proporcionar permisos para muchos casos de uso comunes, de modo que pueda empezar a asignar permisos a usuarios, grupos y funciones.

Ten en cuenta que es posible que las políticas AWS administradas no otorguen permisos con privilegios mínimos para tus casos de uso específicos, ya que están disponibles para que los usen todos los AWS clientes. Se recomienda definir políticas administradas por el cliente específicas para sus casos de uso a fin de reducir aún más los permisos.

No puedes cambiar los permisos definidos en AWS las políticas administradas. Si AWS actualiza los permisos definidos en una política AWS administrada, la actualización afecta a todas las identidades principales (usuarios, grupos y roles) a las que está asociada la política. AWS es más probable que actualice una política AWS administrada cuando Servicio de AWS se lance una nueva o cuando estén disponibles nuevas operaciones de API para los servicios existentes.

Para obtener más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM.

importante

Las políticas administradas de AWSCodePipelineFullAccess y AWSCodePipelineReadOnlyAccess han sustituido. Utilice las políticas AWSCodePipeline_FullAccess y AWSCodePipeline_ReadOnlyAccess.

AWS política gestionada: AWSCodePipeline_FullAccess

Esta es una política que otorga acceso total a CodePipeline. Para ver el documento de política de JSON en la consola de IAM, consulte AWSCodePipeline_FullAccess.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• codepipeline— Otorga permisos a. CodePipeline

• chatbot— Otorga permisos para permitir a los directores administrar los recursos. AWS Chatbot

• cloudformation— Otorga permisos que permiten a los directores gestionar las pilas de recursos. AWS CloudFormation

• cloudtrail— Otorga permisos que permiten a los directores gestionar el inicio de sesión de los recursos. CloudTrail

• codebuild— Otorga permisos para permitir a los directores acceder a los recursos del edificio. CodeBuild

• codecommit— Otorga permisos para permitir a los directores acceder a los recursos fuente en. CodeCommit

• codedeploy— Otorga permisos para permitir a los directores acceder a los recursos de despliegue en. CodeDeploy

• codestar-notifications— Otorga permisos para permitir a los directores acceder a los recursos de las AWS CodeStar notificaciones.

• ec2— Otorga permisos para permitir que las implementaciones CodeCatalyst administren el balanceo de carga elástico en Amazon EC2.

• ecr: otorga permisos para permitir el acceso a los recursos de Amazon ECR.

• elasticbeanstalk: otorga permisos para permitir a las entidades principales acceder a los recursos de Elastic Beanstalk.

• iam: otorga permisos que permiten a las entidades principales administrar las funciones y las políticas en IAM.

• lambda: otorga permisos para permitir a las entidades principales administrar los recursos en Lambda.

• events— Otorga permisos que permiten a los directores administrar los recursos en Events. CloudWatch

• opsworks— Otorga permisos que permiten a los directores gestionar los recursos en ellos. AWS OpsWorks

• s3: otorga permisos para permitir a las entidades principales administrar los recursos en Amazon S3.

• sns: otorga permisos para que los directores administren los recursos de notificaciones en Amazon SNS.

• states— Otorga permisos que permiten a los directores ver las máquinas estatales en ellas. AWS Step Functions Una máquina de estados consiste en un conjunto de estados que administran las tareas y la transición entre estados.

{
    "Statement": [
        {
            "Action": [
                "codepipeline:*",
                "cloudformation:DescribeStacks",
                "cloudformation:ListStacks",
                "cloudformation:ListChangeSets",
                "cloudtrail:DescribeTrails",
                "codebuild:BatchGetProjects",
                "codebuild:CreateProject",
                "codebuild:ListCuratedEnvironmentImages",
                "codebuild:ListProjects",
                "codecommit:ListBranches",
                "codecommit:GetReferences",
                "codecommit:ListRepositories",
                "codedeploy:BatchGetDeploymentGroups",
                "codedeploy:ListApplications",
                "codedeploy:ListDeploymentGroups",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecs:ListClusters",
                "ecs:ListServices",
                "elasticbeanstalk:DescribeApplications",
                "elasticbeanstalk:DescribeEnvironments",
                "iam:ListRoles",
                "iam:GetRole",
                "lambda:ListFunctions",
                "events:ListRules",
                "events:ListTargetsByRule",
                "events:DescribeRule",
                "opsworks:DescribeApps",
                "opsworks:DescribeLayers",
                "opsworks:DescribeStacks",
                "s3:ListAllMyBuckets",
                "sns:ListTopics",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListTargets",
                "codestar-notifications:ListTagsforResource",
                "codestar-notifications:ListEventTypes",
                "states:ListStateMachines"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Sid": "CodePipelineAuthoringAccess"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy",
                "s3:GetBucketVersioning",
                "s3:GetObjectVersion",
                "s3:CreateBucket",
                "s3:PutBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*",
            "Sid": "CodePipelineArtifactsReadWriteAccess"
        },
        {
            "Action": [
                "cloudtrail:PutEventSelectors",
                "cloudtrail:CreateTrail",
                "cloudtrail:GetEventSelectors",
                "cloudtrail:StartLogging"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:cloudtrail:*:*:trail/codepipeline-source-trail",
            "Sid": "CodePipelineSourceTrailReadWriteAccess"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/service-role/cwe-role-*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "events.amazonaws.com"
                    ]
                }
            },
            "Sid": "EventsIAMPassRole"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "codepipeline.amazonaws.com"
                    ]
                }
            },
            "Sid": "CodePipelineIAMPassRole"
        },
        {
            "Action": [
                "events:PutRule",
                "events:PutTargets",
                "events:DeleteRule",
                "events:DisableRule",
                "events:RemoveTargets"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:events:*:*:rule/codepipeline-*"
            ],
            "Sid": "CodePipelineEventsReadWriteAccess"
        },
        {
            "Sid": "CodeStarNotificationsReadWriteAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:CreateNotificationRule",
                "codestar-notifications:DescribeNotificationRule",
                "codestar-notifications:UpdateNotificationRule",
                "codestar-notifications:DeleteNotificationRule",
                "codestar-notifications:Subscribe",
                "codestar-notifications:Unsubscribe"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        },
        {
            "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:SetTopicAttributes"
            ],
            "Resource": "arn:aws:sns:*:*:codestar-notifications*"
        },
        {
            "Sid": "CodeStarNotificationsChatbotAccess",
            "Effect": "Allow",
            "Action": [
                "chatbot:DescribeSlackChannelConfigurations",
                "chatbot:ListMicrosoftTeamsChannelConfigurations"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

AWS política gestionada: AWSCodePipeline_ReadOnlyAccess

Se trata de una política que concede acceso de solo lectura a. CodePipeline Para ver el documento de política de JSON en la consola de IAM, consulte. AWSCodePipeline_ReadOnlyAccess

Detalles de los permisos

Esta política incluye los siguientes permisos.

• codepipeline— Otorga permisos a las acciones en CodePipeline.

• codestar-notifications— Otorga permisos para permitir a los directores acceder a los recursos de las AWS CodeStar notificaciones.

• s3: otorga permisos para permitir a las entidades principales administrar los recursos en Amazon S3.

• sns: otorga permisos para que los directores administren los recursos de notificaciones en Amazon SNS.

{
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListActionExecutions",
                "codepipeline:ListActionTypes",
                "codepipeline:ListPipelines",
                "codepipeline:ListTagsForResource",
                "s3:ListAllMyBuckets",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListEventTypes",
                "codestar-notifications:ListTargets"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*"
        },
        {
            "Sid": "CodeStarNotificationsReadOnlyAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:DescribeNotificationRule"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        }
    ],
    "Version": "2012-10-17"
}

AWS política gestionada: AWSCodePipelineApproverAccess

Se trata de una política que otorga permiso para aprobar o rechazar una acción de aprobación manual. Para ver el documento de política de JSON en la consola de IAM, consulte.. AWSCodePipelineApproverAccess

Detalles de los permisos

Esta política incluye los siguientes permisos.

• codepipeline— Otorga permisos a las acciones en CodePipeline.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListPipelines",
                "codepipeline:PutApprovalResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS política gestionada: AWSCodePipelineCustomActionAccess

Se trata de una política que permite crear acciones personalizadas en los recursos de Jenkins CodePipeline o integrarlos para crear o probar acciones. Para ver el documento de política de JSON en la consola de IAM, consulte. AWSCodePipelineCustomActionAccess

Detalles de los permisos

Esta política incluye los siguientes permisos.

• codepipeline— Otorga permisos a las acciones en CodePipeline.

{
    "Statement": [
        {
            "Action": [
                "codepipeline:AcknowledgeJob",
                "codepipeline:GetJobDetails",
                "codepipeline:PollForJobs",
                "codepipeline:PutJobFailureResult",
                "codepipeline:PutJobSuccessResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

CodePipeline políticas y notificaciones gestionadas

CodePipeline admite las notificaciones, que pueden notificar a los usuarios los cambios importantes en las canalizaciones. Las políticas gestionadas CodePipeline incluyen declaraciones de políticas para la funcionalidad de notificación. Para obtener más información, consulte ¿Qué son las notificaciones?

Permisos relacionados con las notificaciones en políticas administradas de acceso total

Esta política gestionada concede permisos CodeCommit CodeBuild, CodePipeline CodeDeploy además de los servicios y AWS CodeStar notificaciones relacionados. La política también otorga los permisos que necesita para trabajar con otros servicios que se integran con sus canalizaciones, como Amazon S3, Elastic CloudTrail Beanstalk, Amazon EC2 y. AWS CloudFormation Los usuarios con esta política administrada aplicada también pueden crear y administrar temas de Amazon SNS para notificaciones, suscribirse y cancelar la suscripción de los usuarios a los temas, mostrar los temas que se pueden elegir como destinos para las reglas de notificación y mostrar los clientes de AWS Chatbot configurados para Slack.

La política administrada AWSCodePipeline_FullAccess incluye las siguientes instrucciones para permitir el acceso completo a las notificaciones.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:SetTopicAttributes"
        ],
        "Resource": "arn:aws:sns:*:*:codestar-notifications*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Permisos relacionados con las notificaciones en políticas administradas de solo lectura

La política administrada AWSCodePipeline_ReadOnlyAccess incluye las siguientes instrucciones para permitir el acceso de solo lectura a las notificaciones. Los usuarios que apliquen esta política pueden consultar notificaciones de recursos, pero no pueden crearlas, administrarlas ni suscribirse a ellas.

   {
        "Sid": "CodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:DescribeNotificationRule"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListEventTypes",
            "codestar-notifications:ListTargets"
        ],
        "Resource": "*"
    }

Para obtener más información acerca de IAM y las notificaciones consulte Identity and Access Management para AWS CodeStar Notifications.

AWS CodePipeline actualizaciones de las políticas AWS administradas

Consulte los detalles sobre las actualizaciones de las políticas AWS administradas CodePipeline desde que este servicio comenzó a rastrear estos cambios. Para recibir alertas automáticas sobre los cambios en esta página, suscríbase a la fuente RSS de la página del historial del CodePipeline documento.

Cambio	Descripción	Fecha
AWSCodePipeline_FullAccess— Actualizaciones de la política existente	CodePipeline agregó un permiso a esta política para ListStacks respaldarla AWS CloudFormation.	15 de marzo de 2024
AWSCodePipeline_FullAccess— Actualizaciones de la política existente	Esta política se actualizó para añadir permisos para AWS Chatbot. Para obtener más información, consulte CodePipeline políticas y notificaciones gestionadas.	21 de junio de 2023
AWSCodePipeline_FullAccessy políticas AWSCodePipeline_ReadOnlyAccessadministradas: actualizaciones de la política existente	CodePipeline agregó un permiso a estas políticas para admitir un tipo de notificación adicional mediante AWS Chatbot,chatbot:ListMicrosoftTeamsChannelConfigurations.	16 de mayo de 2023
AWSCodePipelineFullAccess— En desuso	Esta política ha sido reemplazada por AWSCodePipeline_FullAccess. Después del 17 de noviembre de 2022, esta política no se podrá adjuntar a ningún usuario, grupo o función nuevos. Para obtener más información, consulte AWS políticas gestionadas para AWS CodePipeline.	17 de noviembre de 2022
AWSCodePipelineReadOnlyAccess— En desuso	Esta política ha sido reemplazada por AWSCodePipeline_ReadOnlyAccess. Después del 17 de noviembre de 2022, esta política no se podrá adjuntar a ningún usuario, grupo o función nuevos. Para obtener más información, consulte AWS políticas gestionadas para AWS CodePipeline.	17 de noviembre de 2022
CodePipeline comenzó a rastrear los cambios	CodePipeline comenzó a realizar un seguimiento de los cambios de sus políticas AWS gestionadas.	12 de marzo de 2021