Uso de funciones vinculadas a servicios para las notificaciones AWS CodeStar

AWS CodeStar Las notificaciones utilizan funciones AWS Identity and Access Management vinculadas al servicio (IAM). Un rol vinculado a un servicio es un tipo único de rol de IAM que está vinculado directamente a las notificaciones. AWS CodeStar Las funciones vinculadas al servicio están predefinidas en las AWS CodeStar notificaciones e incluyen todos los permisos que el servicio requiere para llamar a otros AWS servicios en tu nombre. Este rol se crea la primera vez que crea una regla de notificación. No es preciso crear el rol.

Un rol vinculado a un servicio facilita la configuración de AWS CodeStar las notificaciones, ya que no es necesario añadir permisos manualmente. AWS CodeStar Las notificaciones definen los permisos de sus funciones vinculadas al servicio y, a menos que se defina lo contrario, solo AWS CodeStar las notificaciones pueden asumir sus funciones. Los permisos definidos incluyen las políticas de confianza y de permisos, y que la política de permisos no se pueda adjuntar a ninguna otra entidad de IAM.

Para eliminar un rol vinculado a servicios, primero debe eliminar sus recursos relacionados. Esto protege tus recursos de AWS CodeStar notificaciones porque no puedes eliminar inadvertidamente el permiso de acceso a los recursos.

Para obtener más información sobre otros servicios que admiten los roles vinculados a servicios, consulte Servicios de AWS que funcionan con IAM.

Permisos de rol vinculados al servicio para las notificaciones AWS CodeStar

AWS CodeStar Las notificaciones utilizan la función AWSServiceRoleForCodeStarNotifications vinculada al servicio para recuperar información sobre los eventos que se producen en su cadena de herramientas y enviar notificaciones a los destinos que especifique.

El rol AWSServiceRoleForCodeStarNotifications vinculado al servicio confía en los siguientes servicios para asumir el rol:

• codestar-notifications.amazonaws.com

La política de permisos del rol permite a AWS CodeStar las notificaciones realizar las siguientes acciones en los recursos especificados:

• Acción: PutRule en CloudWatch Event rules that are named awscodestar-notifications-*

• Acción: DescribeRule en CloudWatch Event rules that are named awscodestar-notifications-*

• Acción: PutTargets en CloudWatch Event rules that are named awscodestar-notifications-*

• Acción: CreateTopic para create Amazon SNS topics for use with AWS CodeStar Notifications with the prefix CodeStarNotifications-

• Acción: GetCommentsForPullRequests en all comments on all pull requests in all CodeCommit repositories in the AWS account

• Acción: GetCommentsForComparedCommit en all comments on all commits in all CodeCommit repositories in the AWS account

• Acción: GetDifferences en all commits in all CodeCommit repositories in the AWS account

• Acción: GetCommentsForComparedCommit en all comments on all commits in all CodeCommit repositories in the AWS account

• Acción: GetDifferences en all commits in all CodeCommit repositories in the AWS account

• Acción: DescribeSlackChannelConfigurations en all AWS Chatbot clients in the AWS account

• Acción: UpdateSlackChannelConfiguration en all AWS Chatbot clients in the AWS account

• Acción: ListActionExecutions en all actions in all pipelines in the AWS account

• Acción: GetFile en all files in all CodeCommit repositories in the AWS account unless otherwise tagged

Puedes ver estas acciones en la declaración de política del rol AWSServiceRoleForCodeStarNotifications vinculado al servicio.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "events:PutTargets",
                "events:PutRule",
                "events:DescribeRule"
            ],
            "Resource": "arn:aws:events:*:*:rule/awscodestarnotifications-*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "sns:CreateTopic"
            ],
            "Resource": "arn:aws:sns:*:*:CodeStarNotifications-*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "codecommit:GetCommentsForPullRequest",
                "codecommit:GetCommentsForComparedCommit",
                "codecommit:GetDifferences",
                "chatbot:DescribeSlackChannelConfigurations",
                "chatbot:UpdateSlackChannelConfiguration",
                "codepipeline:ListActionExecutions"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "codecommit:GetFile"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:ResourceTag/ExcludeFileContentFromNotifications": "true"
                }
            },
            "Effect": "Allow"
        }
    ]
}

Debe configurar permisos para permitir a una entidad de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para obtener más información, consulte Permisos de roles vinculados a servicios en la Guía del usuario de IAM.

Crear un rol vinculado a un servicio para las notificaciones AWS CodeStar

No necesita crear manualmente un rol vinculado a servicios. Puedes usar la consola de herramientas para desarrolladores o la CreateNotificationRule API de los AWS CLI SDK para crear una regla de notificación. También puede llamar de forma directa a la API. No importa el método utilizado, el rol vinculado a servicios se crea de forma automática.

Si elimina este rol vinculado a servicios y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Puedes usar la consola de Developer Tools o la CreateNotificationRule API de los AWS CLI SDK para crear una regla de notificación. También puede llamar de forma directa a la API. No importa el método utilizado, el rol vinculado a servicios se crea de forma automática.

Edición de un rol vinculado a un servicio para las notificaciones AWS CodeStar

Después de crear un rol vinculado a un servicio, no puede cambiarle el nombre, ya que varias entidades pueden hacer referencia al mismo. Sin embargo, puede utilizar IAM para editar la descripción del rol. Para obtener más información, consulte Editar un rol vinculado a servicios en la Guía del usuario de IAM.

Eliminar un rol vinculado a un servicio para las notificaciones AWS CodeStar

Si ya no necesita utilizar una característica o servicio que requiere un rol vinculado a un servicio, le recomendamos que elimine el rol. De esta forma no tiene una entidad no utilizada que no se monitoree ni mantenga de forma activa. Debe limpiar los recursos del rol vinculado a servicio antes de eliminarlo. En el AWS CodeStar caso de las notificaciones, esto significa eliminar todas las reglas de notificación que utilizan el rol de servicio en tu AWS cuenta.

nota

Si el servicio de AWS CodeStar notificaciones utiliza el rol al intentar eliminar los recursos, es posible que la eliminación no se realice correctamente. En tal caso, espere unos minutos e intente de nuevo la operación.

Para eliminar los recursos de AWS CodeStar notificaciones utilizados por AWSServiceRoleForCodeStarNotifications

1. Abra la consola de herramientas para AWS desarrolladores en https://console.aws.amazon.com/codesuite/settings/notifications.

   nota

   Las reglas de notificación se aplican a la AWS región en la que se crean. Si tiene reglas de notificación en más de una AWS región, utilice el selector de regiones para cambiarlas Región de AWS.

2. Elija todas las reglas de notificación que aparecen en la lista y, a continuación, elija Delete (Eliminar).

3. Repita estos pasos en todas AWS las regiones en las que creó las reglas de notificación.

Para utilizar IAM para eliminar el rol vinculado a servicios

Utilice la consola de IAM o la AWS Identity and Access Management API para eliminar el rol vinculado al AWSServiceRoleForCodeStarNotifications servicio. AWS CLI Para más información, consulte Eliminación de un rol vinculado a servicios en la Guía del usuario de IAM.

Regiones compatibles con las funciones vinculadas al servicio de notificaciones AWS CodeStar

AWS CodeStar Las notificaciones permiten el uso de funciones vinculadas al servicio en todas las AWS regiones en las que el servicio está disponible. Para obtener más información, consulte AWS Regiones y puntos finales y notificaciones.AWS CodeStar