Permisos y ejemplos de AWS CodeConnections

Los siguientes ejemplos e instrucciones de política pueden ayudarlo a administrar AWS CodeConnections.

Para obtener información sobre cómo crear una política IAM basada en la identidad utilizando estos documentos de JSON política de ejemplo, consulte Creación de políticas en la JSON pestaña de la Guía del IAMusuario.

Ejemplo: una política para crear CLI y ver AWS CodeConnections con la consola

Un rol o usuario designado para usar AWS CLI o SDK ver, crear, etiquetar o eliminar conexiones debe tener permisos limitados a lo siguiente.

nota

No puede completar una conexión en la consola solo con los permisos siguientes. Debe agregar los permisos en la siguiente sección.

Para utilizar la consola para ver una lista de las conexiones disponibles, ver etiquetas y usar una conexión, utilice la política siguiente.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "ConnectionsFullAccess",
        "Effect": "Allow",
        "Action": [
            "codeconnections:CreateConnection",
            "codeconnections:DeleteConnection",
            "codeconnections:UseConnection",
            "codeconnections:GetConnection",
            "codeconnections:ListConnections",
            "codeconnections:TagResource",
            "codeconnections:ListTagsForResource",
            "codeconnections:UntagResource"
        ],
        "Resource": "*"
     }
   ]
}

Ejemplo: una política para crear AWS CodeConnections con la consola

Un rol o un usuario designado para administrar conexiones en la consola debe tener los permisos necesarios para completar una conexión en la consola y crear una instalación, lo que incluye autorizar el protocolo de enlace al proveedor y crear instalaciones para que se utilicen las conexiones. UseConnection también se debe agregar para usar la conexión en la consola. Utilice la siguiente política para ver, utilizar, crear, etiquetar o eliminar una conexión en la consola.

nota

Actualmente, si utilizas la consola para crear una conexión, solo se crearán recursos codestar-connections dentro del recursoARN. Para crear un recurso que tendrá el prefijo de codeconnections servicio ARN entre, CLISDK, oCFN. Los recursos con ambos prefijos de servicio seguirán mostrándose en la consola. La creación de recursos de consola estará disponible a partir del 1 de julio de 2024.

nota

En el caso de los recursos creados con la consola, las acciones de la declaración de política deben incluir codestar-connections el prefijo de servicio, como se muestra en el siguiente ejemplo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "codestar-connections:CreateConnection",
                "codestar-connections:DeleteConnection",
                "codestar-connections:GetConnection",
                "codestar-connections:ListConnections",
                "codestar-connections:GetInstallationUrl",
                "codestar-connections:GetIndividualAccessToken",
                "codestar-connections:ListInstallationTargets",
                "codestar-connections:StartOAuthHandshake",
                "codestar-connections:UpdateConnectionInstallation",
                "codestar-connections:UseConnection",
                "codestar-connections:TagResource",
                "codestar-connections:ListTagsForResource",
                "codestar-connections:UntagResource"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Ejemplo: una política de administración a nivel de administrador AWS CodeConnections

En este ejemplo, desea conceder a un IAM usuario de su AWS cuenta acceso completo para que CodeConnections pueda añadir, actualizar y eliminar conexiones. Se trata de una política de acceso total, equivalente a la política AWSCodePipeline_ FullAccess gestionada. Al igual que esa política gestionada, solo debes adjuntar este tipo de declaración de política a IAM los usuarios, grupos o roles que requieran un acceso administrativo total a las conexiones de tu AWS cuenta.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "ConnectionsFullAccess",
        "Effect": "Allow",
        "Action": [
            "codeconnections:CreateConnection",
            "codeconnections:DeleteConnection",
            "codeconnections:UseConnection",
            "codeconnections:GetConnection",
            "codeconnections:ListConnections",
            "codeconnections:ListInstallationTargets",
            "codeconnections:GetInstallationUrl",
            "codeconnections:StartOAuthHandshake",
            "codeconnections:UpdateConnectionInstallation",
            "codeconnections:GetIndividualAccessToken",
            "codeconnections:TagResource",
            "codeconnections:ListTagsForResource",
            "codeconnections:UntagResource"
        ],
        "Resource": "*"
     }
   ]
}

Ejemplo: una política de uso a nivel de colaborador AWS CodeConnections

En este ejemplo, desea conceder acceso al day-to-day uso de, por ejemplo CodeConnections, la creación y la visualización de los detalles de las conexiones, pero no a acciones más destructivas, como la eliminación de conexiones.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCodeConnectionsPowerUserAccess",
            "Effect": "Allow",
            "Action": [
                "codeconnections:CreateConnection",
                "codeconnections:UseConnection",
                "codeconnections:GetConnection",
                "codeconnections:ListConnections",
                "codeconnections:ListInstallationTargets",
                "codeconnections:GetInstallationUrl",
                "codeconnections:GetIndividualAccessToken",
                "codeconnections:StartOAuthHandshake",
                "codeconnections:UpdateConnectionInstallation",
                "codeconnections:ListTagsForResource"
            ],
            "Resource": "*"
        }
    ]
}

Ejemplo: una read-only-level política de uso AWS CodeConnections

En este ejemplo, quieres conceder a un IAM usuario de tu cuenta acceso de solo lectura a las conexiones de tu AWS cuenta. En este ejemplo se muestra cómo crear una política que permita visualizar estos elementos.

{
    "Version": "2012-10-17",
    "Id": "Connections__ReadOnly",
    "Statement": [
        {
            "Sid": "Reads_API_Access",
            "Effect": "Allow",
            "Action": [
            "codeconnections:GetConnection",
            "codeconnections:ListConnections",
            "codeconnections:ListInstallationTargets",
            "codeconnections:GetInstallationUrl",
            "codeconnections:ListTagsForResource"
            ],
            "Resource": "*"
        }
    ]
}

Ejemplo: una política restringida para usarla con un repositorio específico AWS CodeConnections

En el siguiente ejemplo, el cliente quiere que la función de CodeBuild servicio acceda al repositorio de Bitbucket especificado. La política sobre el rol CodeBuild de servicio:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "codeconnections:UseConnection"
        ],
        "Resource": "arn:aws:codeconnections:us-west-2:connection:3dee99b9-172f-4ebe-a257-722365a39557",
        "Condition": {"ForAllValues:StringEquals": {"codeconnections:FullRepositoryId": "myrepoowner/myreponame"}}
    }
}

Ejemplo: una política para usar una conexión con CodePipeline

En el ejemplo siguiente, un administrador quiere que los usuarios usen una conexión con CodePipeline. La política adjunta al usuario:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "codeconnections:PassConnection"
        ],
        "Resource": "arn:aws:codeconnections:us-west-2:connection/aEXAMPLE-8aad-4d5d-8878-dfcab0bc441f",
        "Condition": {"ForAllValues:StringEquals": {"codeconnections:PassedToService": "codepipeline.amazonaws.com"}}
    }
}

Ejemplo: usa un rol de CodeBuild servicio para las operaciones de lectura de Bitbucket con AWS CodeConnections

En el siguiente ejemplo, el cliente quiere que la función de CodeBuild servicio realice operaciones de lectura en Bitbucket, independientemente del repositorio. La política sobre el rol CodeBuild de servicio:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "codeconnections:UseConnection"
        ],
        "Resource": "arn:aws:codeconnections:us-west-2:connection/aEXAMPLE-8aad-4d5d-8878-dfcab0bc441f",
        "Condition": {"ForAllValues:StringEquals": {"codeconnections:ProviderPermissionsRequired": "read_only"}}
    }
}

Ejemplo: limite la función CodeBuild de servicio para que no realice operaciones con AWS CodeConnections

En el siguiente ejemplo, el cliente quiere impedir que la función de CodeBuild servicio realice una operación similarCreateRepository. La política sobre la función CodeBuild de servicio:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "codeconnections:UseConnection"
        ],
        "Resource": "arn:aws:codeconnections:us-west-2:connection/aEXAMPLE-8aad-4d5d-8878-dfcab0bc441f",
        "Condition": {"ForAllValues:StringNotEquals": {"codeconnections:ProviderAction": "CreateRepository"}}
    }
}