Permisos y ejemplos de AWS CodeStar notificaciones

Las siguientes declaraciones y ejemplos de políticas pueden ayudarle a gestionar AWS CodeStar las notificaciones.

Permisos relacionados con las notificaciones en políticas administradas de acceso total

Las políticas FullAccess gestionadas AWSCodeCommitFullAccessAWSCodeBuildAdminAccessAWSCodeDeployFullAccess,, y AWSCodePipeline_ incluyen las siguientes declaraciones para permitir el acceso total a las notificaciones en la consola de Developer Tools. Los usuarios a los que se les aplique una de estas políticas gestionadas también pueden crear y gestionar SNS temas de Amazon para las notificaciones, suscribir y cancelar la suscripción de los usuarios a los temas y enumerar temas para elegir como objetivos de las reglas de notificación.

nota

En la política administrada, la clave de condición codestar-notifications:NotificationsForResource tendrá un valor específico para el tipo de recurso del servicio. Por ejemplo, en la política de acceso total de CodeCommit, el valor esarn:aws:codecommit:*.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:SetTopicAttributes"
        ],
        "Resource": "arn:aws:sns:*:*:codestar-notifications*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Permisos relacionados con las notificaciones en políticas administradas de solo lectura

Las políticas ReadOnlyAccess gestionadas AWSCodeCommitReadOnlyAccessAWSCodeBuildReadOnlyAccessAWSCodeDeployReadOnlyAccess,, y AWSCodePipeline_ incluyen las siguientes instrucciones para permitir el acceso de solo lectura a las notificaciones. Por ejemplo, pueden ver notificaciones de recursos en la consola de herramientas para desarrolladores, pero no pueden crearlas, administrarlas ni suscribirse a ellas.

nota

En la política administrada, la clave de condición codestar-notifications:NotificationsForResource tendrá un valor específico para el tipo de recurso del servicio. Por ejemplo, en la política de acceso total de CodeCommit, el valor es. arn:aws:codecommit:*

   {
        "Sid": "CodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:DescribeNotificationRule"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListEventTypes",
            "codestar-notifications:ListTargets"
        ],
        "Resource": "*"
    }

Permisos relacionados con las notificaciones en otras políticas administradas

Las políticas AWSCodeBuildDeveloperAccessadministradas AWSCodeCommitPowerUserAWSCodeBuildDeveloperAccess, y las administradas incluyen las siguientes declaraciones para permitir a los desarrolladores que tengan aplicada una de estas políticas administradas crear, editar y suscribirse a las notificaciones. No pueden eliminar reglas de notificación ni administrar etiquetas para recursos.

nota

En la política administrada, la clave de condición codestar-notifications:NotificationsForResource tendrá un valor específico para el tipo de recurso del servicio. Por ejemplo, en la política de acceso total de CodeCommit, el valor esarn:aws:codecommit:*.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Ejemplo: una política a nivel de administrador para gestionar las notificaciones AWS CodeStar

En este ejemplo, desea conceder a un IAM usuario de su AWS cuenta acceso completo a AWS CodeStar las notificaciones para que pueda revisar los detalles de las reglas de notificación y enumerar las reglas de notificación, los objetivos y los tipos de eventos. También desea permitir al usuario añadir, actualizar y eliminar reglas de notificación. Se trata de una política de acceso total, equivalente a los permisos de notificación incluidos como parte de las políticas FullAccess gestionadas AWSCodeBuildAdminAccessAWSCodeCommitFullAccessAWSCodeDeployFullAccess,, y AWSCodePipeline_. Al igual que esas políticas administradas, solo debes adjuntar este tipo de declaración de política a IAM los usuarios, grupos o roles que requieran un acceso administrativo total a las notificaciones y a las reglas de notificación de tu AWS cuenta.

nota

Esta política incluye permisos para CreateNotificationRule. Cualquier usuario que tenga esta política aplicada a su IAM usuario o rol podrá crear reglas de notificación para todos los tipos de recursos compatibles con AWS CodeStar las notificaciones de la AWS cuenta, incluso si ese usuario no tiene acceso a esos recursos por sí mismo. Por ejemplo, un usuario con esta política podría crear una regla de notificación para un CodeCommit repositorio sin tener permisos de acceso a CodeCommit sí mismo.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "AWSCodeStarNotificationsFullAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe",
            "codestar-notifications:DeleteTarget",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:TagResource",
            "codestar-notifications:UntagResource"
        ],
        "Resource": "*"
     }
   ]
}

Ejemplo: una política a nivel de colaborador para usar las notificaciones AWS CodeStar

En este ejemplo, quieres conceder acceso al day-to-day uso de AWS CodeStar las notificaciones, como la creación de notificaciones y la suscripción a ellas, pero no a acciones más destructivas, como eliminar las reglas o los objetivos de las notificaciones. Esto equivale al acceso que se proporciona en las políticas AWSCodeCommitPowerUseradministradas y AWSCodeBuildDeveloperAccessAWSCodeDeployDeveloperAccess,

nota

Esta política incluye permisos para CreateNotificationRule. Cualquier usuario que tenga esta política aplicada a su IAM usuario o rol podrá crear reglas de notificación para todos y cada uno de los tipos de recursos compatibles con AWS CodeStar las notificaciones de la AWS cuenta, incluso si ese usuario no tiene acceso a esos recursos por sí mismo. Por ejemplo, un usuario con esta política podría crear una regla de notificación para un CodeCommit repositorio sin tener permisos de acceso a CodeCommit sí mismo.

{
    "Version": "2012-10-17",
    "Sid": "AWSCodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource"
        ],
        "Resource": "*"
        }
    ]
}

Ejemplo: una read-only-level política para usar AWS CodeStar las notificaciones

En este ejemplo, quieres conceder a un IAM usuario de tu cuenta acceso de solo lectura a las reglas de notificación, los objetivos y los tipos de eventos de tu AWS cuenta. En este ejemplo se muestra cómo crear una política que permita visualizar estos elementos. Esto equivale a los permisos incluidos como parte de las políticas ReadOnlyAccess gestionadas AWSCodeBuildReadOnlyAccess, AWSCodeCommitReadOnly, y AWSCodePipeline_.

{
    "Version": "2012-10-17",
    "Id": "CodeNotification__ReadOnly",
    "Statement": [
        {
            "Sid": "Reads_API_Access",
            "Effect": "Allow",
            "Action": [
                "CodeNotification:DescribeNotificationRule",
                "CodeNotification:ListNotificationRules",
                "CodeNotification:ListTargets",
                "CodeNotification:ListEventTypes"
            ],
            "Resource": "*"
        }
    ]
}